Bitget, 2026'nın en büyük kripto hırsızlığında $387.5 million kaybetti ve hiçbir özel anahtar çalınmadı. Saldırganlar borsanın kendi yetkilendirme katmanını taklit etti — 2025'te Bybit'teki aynı hata yapısı — ve hırsızlığın 0.1%'den azı dondurulabilir. İşte bu, traderlar için ne anlama geliyor.
Kripto Borsası Güvenliği Bir Kez Daha Başarısız Oldu — Ve Sorun Anahtarlar Değildi
24 Eylül 2026'da, 387,5 milyon dolar bir saatin altında kripto borsası Bitget'ten çekildi. Hiçbir özel anahtar çalınmadı. Hiçbir parola kırılmadı. Hiçbir çalışan rüşvetlenmedi. Saldırganlar borsanın kendi backend'ine girdi, sahte işlem verileri besledi ve platformun onay sisteminin parayı kapı dışarı itmesini izledi — çünkü sistem transferlerin meşru olduğuna gerçekten inanıyordu. Bu, 2026'nın şimdiye kadarki en büyük kripto hırsızlığıdır ve kripto borsa güvenliğinin aslında nasıl başarısız olduğu konusunda keskin bir dönüş işaret eder.
Ana Çıkarımlar
- Bitget'in $387.5 million breach on September 24, 2026 yılın şimdiye kadarki en büyük kripto hırsızlığıydı ve saldırganlar tek bir özel anahtara bile dokunmadı.
- Saldırı vektörü, borsanın yetkilendirme katmanını taklit ederek, $1.5 billion Bybit hırsızlığını Şubat 2025'te yansıtıyor.
- Kuzey Kore'ye bağlı devlet grupları, 2026 krypto hırsızlığını $1 billion'ın ötesine taşıdı, 2025'te çalınan yaklaşık $2 billion'un üzerine.
- Stablecoin ihraççıları, yağmalanan varlıkların yalnızca yaklaşık 318.000 dolarını dondurdu; geri kalanın çoğu XRP ve ETH'de bulunuyor ve bu varlıkları hiçbir ihraççı donduramaz.
Anahtar korumasını güçlendirmek için harcanan bir on yıl, bu saldırıyı durduramadı çünkü saldırı üst katmana taşındı.
Neden kripto borsası güvenliği sürekli başarısız oluyor?
Bir on yıl boyunca kripto güvenliği tek bir slogan etrafında dönüyordu: Anahtarlar senin değilse, coinler de senin değil. Sektör, anahtar korumasını güçlendirmek için milyarlarca dolar harcadı — soğuk depolama, donanım güvenlik modülleri, çok taraflı hesaplama, hava ile yalıtılmış kasalar, 15'ten 11 çoklu imza şemaları. Ve bir süre için işe yaradı. Gerçek anahtarlara yönelik saldırılar zorlaştı ve nadir hale geldi.
Bu yüzden saldırganlar hedefleri değiştirdi.
Bitget ihlali, sektörün tüm tehdit modelinin artık modası geçmiş olduğuna dair en net kanıt. Saldırı kilit üzerinde değildi. Saldırı kapıcıdaydı — yetkilendirme katmanı, bir anahtarın harekete geçmesine izin verilmeden önce bir işlemin gerçek olup olmadığına karar veren yazılım ve insanlar. Bu katmanı bozarsanız, anahtar önüne konan her şeyi memnuniyetle imzalar.
Bitget saldırısı aslında nasıl işledi?
Bitget'in başkanı durumu açıkça şöyle açıkladı: Saldırgan, şirketin cüzdan altyapısı içindeki kritik bir arka uç sistemini ele geçirdi, işlem verilerini sahte göstermek için bunu kullandı ve fonların çıkarılmasını sağlamak için borsanın kendi yetkilendirme sürecini tetikledi. İmzalama anahtarı asla dokunulmadı. Güvenilen veriye müdahale edildi.
Bu bir anahtar hırsızlığı değil. Güven ihlalidir. Ve 2025 Şubat ayında 1,5 milyar doların anahtarların çalınmasından değil, saldırganların insan imzalayıcıların ekranlarında gördüklerini sahte göstererek onları rutin olduklarına inandıkları soğuk cüzdan transferlerini onaylamaya ikna etmesinden kaybolmasıyla aynı yapıdadır.
Kripto para tarihinin en büyük iki saldırısı artık aynı iskeleti paylaşıyor: Saldırgan kriptografiyi asla yenmez. Üzerine kurulu olan karar verme sürecini yenar. Bitget, soruşturmayı yürütmek için Mandiant ve SlowMist'i işe aldı ve adli ekip, fonları izlerken TRM Labs ve Elliptic gibi zincir üstü istihbarat firmalarıyla birlikte çalışıyor. Sonuç hızla şekilleniyor: Kripto borsaların on yıldır sağlamlaştırdığı çevre, artık bu tür saldırganların hedefi değil.
Bu değişimden kim kazanıyor, kim kaybediyor?
Kazananlar kolayca tespit edilebilir. Adli ve zincir üstü istihbarat firmaları — Mandiant, SlowMist, TRM Labs, Elliptic — parayı takip etmek için ödeniyor ve işler harika gidiyor. İçerideki işlem iş akışlarını izleyen, yalnızca anahtar muhafazasına odaklanmayan satıcılar olan yeni ortaya çıkan yetkilendirme katmanı güvenlik nişi, kategoriyi tanımlayacak bir vaka çalışmasına sahip. Yıllardır borsa riskinin kriptografik değil, operasyonel bir sorun olduğunu savunan sigorta alt yazıcıları aniden öngörülü görünüyor.
Kaybedenler daha az belirgin. Geniş arka uç altyapısına sahip borsalar artık tercih edilen hedef haline geldi — her iç hizmet potansiyel bir kapıdır ve karmaşıklık saldırganın dostudur. Hala fonların soğuk cüzdanlarda olduğu için güvende olduklarına inanan perakende kullanıcılar, on yıl öncesine dayanan bir varsayıma güveniyor. Soğuk cüzdan anahtarları korur. Onay sürecini korumaz.
Ardından donma refleksi var. Adresleri kara listeye alabilen stabilcoin yayıncıları Circle ve Tether, çalınan fonların yaklaşık 318.000 dolarını dondurdu. Bu, toplamın %0,1'inden azı. Çalınan fonların büyük kısmı XRP (yaklaşık 102,93 milyon token) ve ETH (yaklaşık 31.890 token) gibi, dondurma yetkisine sahip merkezi bir yayıncısı olmayan yerel varlıklardan oluşuyordu. Sektörün favori acil freni, saldırganların çalmayı tercih ettiği tam da bu varlıklara karşı yapısal olarak işe yaramaz. Bu bir hata değil. Bu tasarım.
Bu daha önce oldu mu ve şimdi ne farklı?
Bitget bir istisna değil. On yıllık bir tırmanış merdiveninin en son basamağı:
- 2014, Mt. Gox: sıcak cüzdan özel anahtar hırsızlığı, yaklaşık 850.000 BTC.
- 2016, Bitfinex: çok imzalı anahtar hırsızlığı, yaklaşık 120.000 BTC.
- 2022, Ronin: doğrulayıcı anahtar ihlali ve sosyal mühendislik, yaklaşık 600 milyon dolar.
- 2025, Bybit: taklit arayüz üzerinden imzalama yanıltması, yaklaşık 1,5 milyar dolar.
- 2026, Bitget: yetkilendirme katmanı taklidi, yaklaşık 387,5 milyon dolar.
Her basamak, saldırganı kriptografiden daha da uzaklaştırır ve etrafındaki insan ve yazılım kararlarına daha da yaklaştırır. Matematik asla zayıf halka değildi. İş akışıydı.
Şimdi farklı olan saldırgan. Lazarus, TraderTraitor ve WaterPlum olarak takip edilen Kuzey Kore'nin devlet hacker aygıtı, bunu endüstrileştirdi. Chainalysis, DPRK ile bağlantılı hırsızlığın 2025'te sadece $2 billion'ı aştığını, ve Bitget yağmasının 2026'yı aylar hâlâ varken $1 billion'ın ötesine taşıdığını tahmin ediyor. Bu fırsatçı bir script saldırganı değil. Hedef şirketlerin içine aylardır sahte IT müteahhitleri yerleştirme sabrına sahip, gelir programı çalıştıran, iyi kaynaklı bir operasyon. Borsaları bir fonun bir piyasayı ele aldığı gibi ele alıyor: sistematik ve kâr için.
Bu bir ila üç yıl içinde nereye gidiyor?
Rahatsız edici gerçek, daha iyiye gitmeden önce daha da kötüleşeceğidir. Üç güç birleşiyor.
İlki yapay zeka. Milyarlarca dolara karşılık gelen sahtekarlığı engelleme konusunda kredi alışverişinde bulunan aynı model sınıfı, başka yöne çevrilebilir; ikna edici işlem verileri üretebilir, yetkilendirme açıklarının keşfini otomatikleştirebilir ve bir zamanlar derin insan uzmanlığı gerektiren saldırıları ölçeklendirebilir. Otonom ajanlar zaten test sistemlerinde yükseltilmiş erişim elde etmek için yazılım güvenlik açıklarını bulma ve zincirleme işleme konusunda yeteneklerini kanıtlamışlardır. Yetkilendirme katmanı, asla uyumayan ve asla yazım hatası yapmayan rakiplerle karşı karşıya gelecek.
İkincisi otonomidir. Cüzdanlar ajan hale geldikçe, botlar ve yapay zeka asistanları kullanıcı adına işlem imzaladıkça, döngüdeki insan ortadan kaybolur. Bir makine bir transferi yetkilendirdiğinde, sahte veriyi yakalayacak şüpheci bir insan kalmaz. Soru, anahtarın kimde olduğunu değil, makineyi kimin veya neyin yetkilendirdiğini sorar.
Üçüncüsü ise varlıkların kendisidir. Daha fazla değer, dondurulabilir stablecoinlerden uzaklaşarak yerel varlıklara doğru hareket ettikçe, dondur, kara listeye al ve geri al kurtarma senaryosu dişlerini kaybeder. Yerel varlıklarda Bitget tarzı bir saldırı için gerçekçi kurtarma oranı etkili olarak sıfırdır.
Bir ila üç yıl içinde, yeni bir güvenlik kategorisi hakim olacak: yetkilendirme katamının kendisinin sürekli, davranış temelli izlenmesi. Bir anahtarın güvenli olup olmadığı değil, sistemin bildiği her şey göz önüne alındığında bir işlemin mantıklı olup olmadığı.
Bu, tüccarlar için ne anlama geliyor?
Bunların hiçbiri bir fiyat tahmini değil. Bir risk haritası ve üzerinde durulmaya değer birkaç stratejik çıkarım var.
Eksanjelerdeki karşı taraf riski artık sadece iflas endişesi değil. Tekrarlayan, sofistike bir devlet aktörü tehdidi. Bir eksanjeye sorulacak soru, soğuk cüzdana sahip olup olmadığı değil, çünkü herkesin sahip olduğu, ama imzalanmadan önce bir çekilişi nasıl doğruladığıdır.
Bir kullanıcı koruma fonu bir destek mekanizmasıdır, savunma değil. Bitget'in 464 milyon dolarlık fonu kaybı karşılar ve bu kapsam gerçektir. Ancak kapsam, önleme değildir. Bir ihlal sonrası ödeme yapan bir fon, bir ihlali durduran bir sistemle aynı değildir.
Maruziyetin nerede olduğunu bilin. XRP ve ETH gibi yerel varlıklar, dondurulamamaları nedeniyle tercih edilen hazine malzemesidir, bu da çalınan yerel varlıkların eksanji tarafından kurtarılmasının sıfıra yuvarlandığı anlamına gelir. Elde tutulan varlık, mekandan bağımsız olarak taşınan riski şekillendirir.
Kendi kendine koruma, denklemden eksanjizin yetkilendirme katmanını çıkarır, ancak yalnızca bir birey, katılaşmış bir kurumu kendi operasyonel güvenliğinden daha fazla güvenirse. Çoğu insan için bu ödün-asılma değişmemiştir. Değişen şey dürüstlüktür: hiçbir koruma modeli güvenli değildir, yalnızca farklı şekilde savunmasızdır.
Kripto sektörünün kendisine sorması gereken soru
On yıldır sektör kendine rahatlatıcı bir hikâye anlattı: anahtarları koru, güvendesin. Bitget soygunu, Bybit'in ardından gelen bu reddiyedir. Saldırganlar artık anahtarlarla ilgilenmiyor. Gerçek varlığın, harcamak için izin olduğunu fark ettiler.
Bir sonraki nesil hırsızlık tek bir özel anahtara bile dokunmazsa, tüm sektör için açık soru, tam olarak neyin korunduğu ve bunu durduracak kimse kaldı mıdır.
FAQ
Bitget çalınan bir özel anahtar üzerinden mi hacklendi?
Hayır. Bitget'in olay sonrası açıklaması, kriptografik anahtar hırsızlığını dışladı. Saldırgan, cüzdan işlemlerini işleyen bir arka uç sistemini ele geçirdi ve sahte işlem verileri besleyerek, borsanın kendi yetkilendirme sürecinin bu ödemeleri rutinmiş gibi onaylamasına neden oldu. Anahtarlara hiç dokunulmadı; anahtarların güvendiği veriye dokunuldu.
Bu, Bybit saldırısıyla aynı mı?
Yapısal olarak, evet. Hem Şubat 2025'teki $1.5 billion Bybit ihlali hem de Eylül 2026'daki $387.5 million Bitget ihlali, anahtarları atlayıp doğrudan onay katmanını hedefledi. Bybit, imzalayıcının ekranında kandırıldı; Bitget ise kendi arka uç sisteminin içinde kandırıldı. Her iki durumda da kriptografi sağlam kaldı; karar süreci kalmadı.
Circle ve Tether neden sadece yaklaşık 318.000 $ dondurdu?
Çünkü stablecoinler, ele geçirilen fonların çok küçük bir kısmını oluşturuyordu. Çalınan fonların büyük kısmı, adresleri kara listeye alma yetkisine sahip merkezi bir ihraççıya sahip olmayan yerel varlıklar olan XRP ve ETH'di. Bu, endüstrinin dondurma ve kurtarma oyun planının yapısal bir sınırlamasını ortaya koyar: Bu yöntem, birinin kontrolündeki varlıklar üzerinde yalnızca çalışır.
Bitget hackinin arkasında kim vardı?
Sorumluluk ataması hâlâ bir çalışma hipotezidir. Bitget, Kuzey Kore devleti tarafından desteklenen gruplara işaret ediyor ve teknikler ile kara para aklama desenleri, Bybit ve Ronin hacklerinin arkasındaki Lazarus ve TraderTraitor faaliyetleriyle eşleşiyor. Mandiant ve SlowMist adli incelemeyi yürütüyor.
Müşteri fonları risk altında mı?
Bitget, 464 milyon $'dan fazla fon barındıran Kullanıcı Koruma Fonunun tam kaybı karşılamak için yeterli olduğunu ve borsanın para çekme işlemlerini aşamalı olarak yeniden başlattığını söylüyor. Daha geniş ders, tek bir borsanın likiditesiyle değil, tüm endüstrinin tehdit modeliyle ilgilidir: Hiçbir depolama kurulumu bağışık değildir, yalnızca farklı derecelerde maruz kalırlar.