Kripto borsalarının en büyük hacklerini neden incelemeli
Kripto piyasasının tarihi yalnızca teknolojinin ve sermayenin büyümesinden ibaret değil; aynı zamanda ses getiren bir dizi hack olayından da oluşuyor. Bu tür her olay, borsaların teknik ve organizasyonel zayıflıklarını açığa çıkarır, regülasyonu etkiler ve güvenlik standartlarını kalıcı biçimde değiştirir. Aşağıda en dikkat çekici olayları inceliyoruz: nasıl gerçekleştiler, sektör için neye yol açtılar ve kullanıcılara ne öğrettiler.
Bu materyalin amacı, kilit vakaları (Mt.Gox, Bitfinex, Coincheck, Binance, Cryptopia, KuCoin, FTX, Bybit ve diğerleri) tek yerde toplamak, saldırı mekanizmalarını sade bir dille açıklamak, kayıpların ve sonuçların ölçeğini göstermek ve kripto varlıklarla güvenli çalışma konusunda pratik çıkarımlar formüle etmektir.
Sıcak cüzdan: internete bağlı olan ve operasyonel ödemeler için kullanılan cüzdan. Kullanışlıdır, ancak soğuk saklamaya göre daha savunmasızdır.
Soğuk saklama: ağdan fiziksel olarak izole edilmiş çevrimdışı cüzdanlar/kustodi çözümleri. Bir borsanın ana rezervini tutmanın standart yoludur.
Çoklu imza (multisig): fon çıkışı için birkaç bağımsız anahtarın gerektiği şema; tek hata noktası riskini azaltır.
İşlem “malleability”si: erken Bitcoin protokolünün, işlemin içeriğini değiştirmeden işlem ID’sini değiştirmeye izin veren özelliği; 2010’ların başındaki tartışmalı senaryolarda kullanılmıştır.
Mt.Gox: ilk “küresel” Bitcoin borsasının çöküşü (2014)
Mt.Gox zirvede küresel BTC işlemlerinin %70’ine kadarını işliyordu, ancak Şubat 2014’te çekimleri durdurdu ve yüz binlerce Bitcoin’in kaybolduğunu kabul etti. Daha sonra ortaya çıkan tablo, sektörün “çocukluk dönemi” için tipikti: kırılgan süreçler, aşırı yük ve zamana yayılan anahtar kompromizasyonu.
Saldırı nasıl gerçekleşti: tek bir “açık” hiçbir zaman adlandırılmadı; büyük olasılıkla zayıf kontrol ve tartışmalı teknik varsayımlar (işlem ID’leriyle ilgili etkiler dahil) zemininde sıcak cüzdanlara uzun süreli yetkisiz erişim söz konusuydu. BTC’nin önemli bir kısmı kademeli olarak sızdı ve aylarca fark edilmedi.
Ölçek: yaklaşık 850 000 BTC kayıp ilan edildi; yaklaşık 200 000 BTC daha sonra borsanın eski bir cüzdanında bulundu. “Buluntu” hesaba katılsa bile net açık, o dönemin ölçülerine göre devasa kaldı.
Sonuçlar: borsanın iflası, yıllara yayılan tazminat süreci ve merkezi platformların itibarında çöküş. Alacaklılara ödeme süreci yıllarca uzadı ve operasyonel güvenliğin nasıl kurulmaması gerektiğine dair bir “case study”ye dönüştü.
Bitfinex: çoklu imzaya darbe ve benzeri görülmemiş geri dönüş (2016)
Saldırı nasıl gerçekleşti: hackerlar çoklu imza korumasını aştı ve yaklaşık 120 bin BTC çıkardı. Kustodi sağlayıcıyla entegrasyonun ayrıntıları, tek seferde istismar edilebilen zayıf nokta haline geldi.
Ölçek: olay anında yaklaşık $70+ milyon; çalınan BTC’ler daha sonra defalarca değer kazandı ve vaka geriye dönük olarak en pahalı olaylardan birine dönüştü.
Sonuçlar: borsa zararı tüm müşterilere dağıtıp ardından geri satın alınan “borç” tokenları çıkararak iflastan kaçındı. Daha sonra çalınan varlıkların önemli bir kısmı izlenip el konuldu; başarılı geri kazanımın nadir örneklerinden biri oldu.
Coincheck: rekor XEM hırsızlığı ve regülatörden “soğuk duş” (2018)
Saldırı nasıl gerçekleşti: saldırganlar NEM tokenlarını tutan sıcak cüzdanın tek anahtarına erişim sağladı. Muhtemel vektör, iş cihazlarındaki phishing ve zararlı yazılımlardı. Çoklu imzanın olmaması kritik hata oldu.
Ölçek: yaklaşık 523 milyon XEM (olay tarihinde ≈$530 milyon). Coinleri ağ üzerinde “işaretleme” ve nakde çevirmeyi engelleme girişimleri kısmen yardımcı oldu, ancak ciddi tutarlar gri piyasa takasçıları üzerinden çıktı.
Sonuçlar: borsa müşterilere zararın büyük kısmını tazmin etti ve büyük bir finans holdingi tarafından satın alındı. Japon regülatör kapsamlı denetimler yaptı ve kustodi prosedürlerine yönelik gereklilikleri güncelledi.
Binance: phishing, ele geçirilmiş API’ler ve SAFU’nun devreye girmesi (2019)
Saldırı nasıl gerçekleşti: uzun süreli phishing kampanyası ve 2FA/API verilerinin toplanması, saldırganların sıcak cüzdandan eşzamanlı büyük bir çekim başlatmasını sağladı.
Ölçek: 7 000 BTC. Sektör liderinin rezervlerine göre küçük bir yüzdeydi, ancak itibar açısından hissedilir bir “stres testi”ydi.
Sonuçlar: borsa çekimleri hızla dondurdu, denetim yaptı ve zararı SAFU sigorta fonundan tamamen karşıladı. Şeffaf iletişim ve risk sistemlerinin yeniden ayarlanması güveni güçlendirdi.
Cryptopia: küçük borsaların kırılganlığı ve sancılı tasfiye (2019)
Saldırı nasıl gerçekleşti: sıcak cüzdanların kompromizasyonu ve bakiyelerin kademeli “boşaltılması”. Rezerv ve müdahale süreçlerindeki eksiklik, operasyonun sürdürülmesine izin vermedi.
Ölçek: çoklu varlıklarda yaklaşık $16–18 milyon. Yerel bir borsa için kritik büyüklükteydi.
Sonuçlar: iflas ve uzun tahsilat süreci: yüzlerce token için veritabanlarının yeniden kurulması, sahiplerin tespiti ve yıllara yayılan noktasal ödemeler.
KuCoin: anahtar kompromizasyonu, DeFi “aklama” ve aslan payının geri dönüşü (2020)
Saldırı nasıl gerçekleşti: saldırganlar sıcak cüzdanların bir kısmına ait özel anahtarları ele geçirdi ve varlıkları hızla dışarı çıkardı. Ardından son yıllar için tipik DeFi rotası geldi: tokenların DEX’ler ve mixer’lar üzerinden takas edilmesi.
Ölçek: olay anında yaklaşık $275–280 milyon.
Sonuçlar: stablecoin ve bazı token ihraççıları varlıkların bir kısmını dondurdu ve yeniden ihraç etti; sonuçta kayda değer bir pay geri alınabildi. Kalan kısım kullanıcılara karşılandı, saklama ve izleme süreçleri ciddi biçimde güçlendirildi.
FTX: hack değil, “iç kırılma” ve gece yapılan yetkisiz çekim (2022)
Sızıntı nasıl gerçekleşti: iflas duyurusunun arka planında, FTX cüzdanlarından saatler içinde yüz milyonlarca dolarlık kripto varlık çıktı. Hareketlerin ve erişimlerin niteliği olayların içeriden kaynaklandığını gösteriyordu.
Ölçek: tahminen yaklaşık $0,5 milyar. Borsanın bilançosundaki genel açık yanında bu olay kök neden değildi, ancak alacaklılar için iflas masasını ayrıca küçülttü.
Sonuçlar: varlıklar acilen kustodi saklama alanlarında konsolide edildi, iz sürme ve bloklama girişimleri sürdü. Buna paralel olarak dolandırıcılık ve yönetim suistimalleriyle ilgili ceza soruşturması gelişti.
Bybit: sıcak cüzdandan rekor çekim ve küresel koordinasyon (2025)
Saldırı nasıl gerçekleşti: saldırganlar büyük bir sıcak cüzdanın özel anahtarına erişim sağladı ve tek hamlede yüz binlerce ETH çıkardı. Yüksek hız ve hazırlık, alışıldık alarm tetikleyicilerinin aşılmasına izin verdi.
Ölçek: olay tarihindeki değeriyle bir milyar+ dolarla kıyaslanabilir; merkezi borsalardan yapılan hırsızlıklarda mutlak rekordur.
Sonuçlar: çekimlerin acilen durdurulması, tam tazminat için kamuya açık taahhütler, forenzik analiz ve uluslararası kurumların devreye girmesi. Tutarların bir kısmı analistler tarafından hızla işaretlendi ve bloklamalara takıldı.
Kripto borsaları neden hacklenir: temel saldırı vektörleri
Özel anahtar sızıntıları ve zayıf saklama politikaları
CEX’ler için ana risk, sıcak cüzdanların anahtarlarıdır. Anahtar tekse ve çevrimiçiyse, bir çalışanın cihazının veya hesabının ele geçirilmesi saldırgana tam erişim verir. Anahtarların ve limitlerin dağıtılması uygulaması uzun süre hafife alındı; Coincheck ve benzer vakalara bakın.
Sosyal mühendislik ve hedefli phishing
“Hizmet” talimatları içeren e-postalar, sahte giriş portalları, zararlı ekler — halen çalışan klasiklerdir. Belirli çalışanlara yönelik hedefli kampanyalar (spear-phishing), iç yazışmaları taklit eder ve 2FA kodlarını, API anahtarlarını veya kurumsal ağa erişimi sızdırır.
API ve çekim otomasyonunun kompromizasyonu
Kullanıcı API anahtarlarının sızması ve risk yönetiminin davranışsal filtrelerinin aşılması, eşzamanlı emirlere ve toplu çekimlere yol açar. Adres beyaz listeleri ve limitler yoksa senaryo daha da güçlenir.
Entegrasyon ve erişim mimarisi hataları
Gelişmiş şemalar bile (multisig, kustodi ortaklar), rollerin/limitlerin yanlış dağıtılmasında aksar. “Kritik işlemde iki kişi” ilkesinin olmaması ve zayıf ağ segmentasyonu sık kompromizasyon kaynaklarıdır.
DeFi ve köprülerle ilişkili yan riskler
Modern borsalar ağlar ve bridge’lerle entegre olur. Üçüncü taraf bir kontrattaki zafiyet veya likidite yönetimindeki hesap hatası, “yan kapı” ya da DEX üzerinden hızlı aklama kanalı haline gelebilir.
CEX savunması nasıl değişti: pratikler ve araçlar
Rezervlerin soğuk saklanması
- Temel rezerv ve uzun vadeli saklama için uygundur.
- Ağ ve zararlı yazılım kaynaklı saldırı yüzeyini azaltır.
✅ Artılar
- Çevrimiçi risklerin en aza indirilmesi.
- Çekim onayı için çok aşamalı prosedürler.
- Rezervlerin şeffaf biçimde ayrıştırılması.
❌ Eksiler
- “Sıcak” havuzun yeniden doldurulma hızının sınırlı olması.
- Prosedür ve insan disiplinine bağımlılık.
Soğuk saklama zorunlu temeldir, ancak iyi operasyon ve limitler olmadan tek başına kurtarmaz.
Çoklu imza (multisig)
- Sıcak ve soğuk katmanlarda uygulanır.
- Rollerin ve işlem limitlerinin net dağıtılmasını gerektirir.
✅ Artılar
- “Tek” anahtarın olmaması.
- Esnek eşik politikası (örneğin, 2‑of‑3, 3‑of‑5).
❌ Eksiler
- Entegrasyon ve anahtar yönetimi hataları faydayı sıfırlayabilir.
- Acil kurtarma ve rotasyonların karmaşıklığı.
Multisig ancak süreçlerin doğru uygulanması ve bağımsız denetimle birlikte etkilidir.
MPC: Multi‑Party Computation — “tam” anahtarın hiçbir zaman tek yerde var olmadığı kriptografik yöntem; imza, farklı cihazlardaki paylardan dağıtık biçimde oluşturulur.
HSM: Hardware Security Module — erişim politikaları ve denetimle birlikte anahtarların güvenli üretilmesi ve saklanması için sertifikalı donanım modülü.
MPC cüzdanları
- Sıcak cüzdanlar ve otomatik çekim akışları için uygundur.
- Limitler ve adres beyaz listeleriyle iyi birleşir.
✅ Artılar
- Anahtar kompromizasyonu için tek nokta yoktur.
- Esnek hata toleransı senaryoları.
❌ Eksiler
- Uygulama ve operasyonel kontrol karmaşıklığı.
- Protokollerin doğru uygulanmasına bağımlılık.
MPC “anahtar sızıntısı” riskini azaltır, ancak olgun süreçler ve düzenli test gerektirir.
HSM ve donanımsal anahtar koruması
- Soğuk katman ve kritik imza rolleri için günceldir.
- Multisig/MPC ve ağ segmentasyonuyla birleştirilir.
✅ Artılar
- Anahtarların bellekten çıkarılmasına karşı koruma.
- Eylemlerin ve erişim politikalarının denetimi.
❌ Eksiler
- Maliyet ve destek karmaşıklığı.
- Rol yönetimindeki insan faktörü önemini korur.
HSM korumanın “fiziksel” tarafını güçlendirir, ancak süreç kısıtlarının gerekliliğini ortadan kaldırmaz.
Rezerv fonları ve sigorta (SAFU)
- Nadir ama pahalı olaylar için “tampon” gibi çalışır.
- Kullanım ve yenileme için şeffaf kurallar gerektirir.
✅ Artılar
- Müşterilerin anlık acısını hafifletir.
- Güveni güçlendirir ve forenzik çalışma için zaman kazandırır.
❌ Eksiler
- Güvenliğin yerine geçmez: fon sınırlıdır.
- Şeffaf olmama ve “manuel” dağıtım riskleri.
Doğru kurgulanmış fon bir “itfaiye ekibidir”, ama yangına karşı duvar değildir.
Proof of Reserves (PoR)
- Varlıklar konusunda şeffaflık ekler, ancak yükümlülük değerlendirmesiyle tamamlanmalıdır.
- Rezerv saklama disiplinini artırır.
✅ Artılar
- Zincir üzerindeki varlıkların kamuya açık doğrulanması.
- Rezervlere özenli yaklaşımı teşvik eder.
❌ Eksiler
- Yükümlülükler hesaba katılmadan PoR bilançodaki “açığı” göstermez.
- Bağımsız gözetim ve düzenlilik gerektirir.
PoR, önlemler bütününün parçası olarak faydalıdır; idealde Proof of Liabilities ve bağımsız denetimle tamamlanır.
Bug bounty, Red Team ve incident response
- Prod ortamında “çirkin sürpriz” ihtimalini azaltır.
- Olay sırasında zararı hızla lokalize etmeye yardımcı olur.
✅ Artılar
- Hataların “kötü niyetlilerden önce” erken bulunması.
- Kriz senaryolarının ve rollerin prova edilmesi.
❌ Eksiler
- Maliyetler ve sürekli disiplin ihtiyacı.
- Sistemsel iyileştirmeler olmadan “sahte huzur” riski.
Düzenli testler ve müdahale planı bir seçenek değil, olgun CEX güvenliğinin zorunlu bileşenidir.
Borsaların hacklere verdiği tepkilerin karşılaştırması
| 🏦 Borsa | 🧨 Olay türü | 💰 Kayıp (tarihte) | 🧾 Müşterilere geri ödeme | ⏱️ Tepki süresi | ⚖️ Regülatörler/statü |
|---|---|---|---|---|---|
| Mt.Gox | Uzun süreli anahtar sızıntısı |
≈850 bin BTC | İflas yoluyla tazminatlar |
Çekimlerin durması → iflas |
İflas etti; uzun rehabilitasyon |
| Bitfinex | Multisig entegrasyonu aksaklığı |
≈120 bin BTC | BFX tokenları/hisseler üzerinden %100 |
Dondurma, BFX ihracı, geri alım |
Çalışıyor; BTC’nin bir kısmına sonradan el konuldu |
| Coincheck | Hot-wallet tek anahtar |
≈$530 milyon XEM |
Öz kaynaklardan ~%90 |
Dondurma, ödeme planı |
Çalışıyor; FSA kontrolü güçlendi |
| Binance | Phishing API/2FA |
7 000 BTC | Tamamı SAFU’dan |
Anında çekim molası |
Çalışıyor; güvenlik güçlendirildi |
| Cryptopia | Cüzdan kompromizasyonu |
≈$16–18 milyon | Tasfiye yoluyla (kalan varlıklar) |
Servisin durması → iflas |
Tasfiye; uzun ödemeler |
| KuCoin | Özel anahtar hırsızlığı |
≈$275–280 milyon | Büyük kısmı geri alındı/donduruldu |
Hızlı forenzik, bloklamalar |
Çalışıyor; soruşturma sürüyor |
| FTX | İflas sırasında yetkisiz çekim |
≈$0,5 milyar | İflas kapsamında |
“Soğuğa” acil konsolidasyon |
İflas etti; ceza davaları |
| Bybit | Hot-wallet anahtar sızıntısı |
≈400 bin ETH | Tam tazminat açıklandı |
Çekim molası, soruşturma |
Çalışıyor; küresel koordinasyon |
Kısaca: en “olgun” borsalar (Binance, KuCoin, Bitfinex) müşteri zararlarını tamamen veya neredeyse tamamen karşılayabildi. Zayıf oyuncular (Mt.Gox, Cryptopia, FTX) iflas etti. Sonuç: tepki hızı ve rezervlerin varlığı, platformun kaderini doğrudan belirler.
Hackerlar çalınan coinleri nasıl “aklar”: kısa örnek
Borsa hacklenirse kullanıcı ne yapmalı
- Aktiviteyi durdurun: açık emirleri iptal edin ve API anahtarlarını devre dışı bırakın.
- Cihazları kontrol edin: şifreleri değiştirin, 2FA’yı sıfırlayın ve antivirüs taraması yapın.
- Varlıkları aktarın: kalan bakiyeleri soğuk saklamalı kişisel bir cüzdana çekin.
- Servis çalışmaya devam ediyorsa adres beyaz listelerini ve giriş/çekim bildirimlerini açın.
- Kanıtları toplayın: bakiye, işlem, e-posta ve bildirim ekran görüntüleri.
- Resmi kanalları izleyin: tazminat talimatları, forenzik raporlar, başvuru formları.
- İflas prosedürü başladıysa alacaklı talebi verin ve ödemeler için KYC’den geçin.
Kripto borsalarındaki en büyük hacklerin kronolojisi
| 🏦 Borsa | 📅 Tarih | 💰 Kayıplar | 🔓 Yöntem | ⚖️ Statü |
|---|---|---|---|---|
| Mt.Gox | Şub 2014 | ≈850 bin BTC | Uzun süreli anahtar sızıntısı zayıf muhasebe |
İflas |
| Bitfinex | Ağu 2016 | ≈120 bin BTC | Multisig şemalarının kompromizasyonu |
Çalışıyor; tazminatlar |
| Coincheck | Oca 2018 | ≈$530 milyon XEM |
Hot-wallet multisig yok |
Çalışıyor; ödemeler |
| BitGrail | Şub 2018 | ≈$170 milyon XNO |
Muhasebe hataları çifte çekim |
İflas |
| Zaif | Eyl 2018 | ≈$60 milyon | Hırsızlık hot-wallet |
Devralma |
| Cryptopia | Oca 2019 | ≈$16–18 milyon | Cüzdan kompromizasyonu |
Tasfiye; ödemeler |
| CoinBene | Mar 2019 | $100 milyondan fazla | Muhtemel içeriden erişim |
Servis söndü |
| Binance | May 2019 | 7 000 BTC | Phishing + 2FA/API |
Çalışıyor; SAFU |
| Upbit | Kas 2019 | ≈$49 milyon ETH |
Hack hot-wallet |
Çalışıyor; karşılama |
| KuCoin | Eyl 2020 | ≈$275–280 milyon | Özel anahtar hırsızlığı |
Çalışıyor; kısmi geri dönüş |
| BitMart | Ara 2021 | ≈$196 milyon | Hot-wallet kompromizasyonu |
Çalışıyor; tazminatlar |
| FTX | Kas 2022 | ≈$0,5 milyar | Yetkisiz çekim (içeriden) |
İflas |
| DMM Bitcoin | May 2024 | ≈4 503 BTC | Hırsızlık hot-wallet |
Çalışıyor; soruşturma |
| WazirX | Temmuz 2024 | $200 milyondan fazla | Kompromize edici aksaklık |
Çalışıyor; soruşturma |
| Bybit | Şub 2025 | ≈400 bin ETH | Özel anahtar sızıntısı |
Çalışıyor; tazminatlar |
Kısaca: listelenen hacklerin toplam zararı