Kuzey Kore'nin 6,43 Milyar Dolarlık Kripto Soygunundan Android Casus Yazılımına Haftalık Siber Güvenlik Özeti

FBI, Binance'den 6,43 milyar dolar değerinde kripto para çalındığını ve bu saldırının Kuzey Koreli bilgisayar korsanlığı grubu TraderTraitor'a atfedildiğini resmi olarak duyurdu. Şubat 2025'te Bybit'ten çalınan 1,46 milyar dolarlik rekor kırılmış olsa da yeni soygun, tarihin en büyük kripto para hırsızlığı unvanını aldı. Çalınan varlıkların yüzde 82'si Ethereum ve Bitcoin üzerindeydi; saldırı toplam 11 farklı blok zincirini kapsıyordu. Tether, Circle, Ripple, Arbitrum ve Optimism'in zincir üzerinde dondurduğu miktar ise 2,85 milyar dolar olarak açıklandı.

Volt Typhoon'un Gizli Altyapısı: Silent Train​

Çin devletiyle bağlantılı olduğu değerlendirilen Volt Typhoon grubunun, saldırılarını gizlemek için Silent Train adı verilen bir altyapı kullandığı ortaya çıktı. Bu yapı, güvenliği ihlal edilmiş SOHO yönlendiriciler, IoT cihazları ve kurumsal ekipmanlardan oluşan sürekli dönen bir zincire dayanıyor. Grup, her operasyonun ardından izleri temizliyor ve altyapıyı yeniliyor. Araştırmacılar, bu yapının savunma, lojistik, iletişim ile askeri ve sivil operasyonları destekleyen kritik ekosistemler içinde kalıcı erişim sağlamaya yönelik olduğuna dikkat çekiyor. Özellikle Hint-Pasifik bölgesindeki jeopolitik gerginlik dönemlerinde bu erişimin stratejik önem taşıdığı vurgulanıyor.

Cursor Marketplace'te Arka Kapılı Claude Code Uzantısı​

Cursor Marketplace üzerinden dağıtılan Claude Code uzantısının iki sürümünün değiştirildiği ve etkilenen sistemlere kalıcı bir SSH arka kapısı kurulduğu tespit edildi. Cursor, olayın 5.000'e kadar kullanıcıyı etkilediğini açıkladı. Şirket, anahtarlarını yenilediğini, marketplace'i yeniden oluşturduğunu ve uzaktan erişim kabuğunu devre dışı bırakmak için bulut sağlayıcısıyla iş birliği yaptığını bildirdi. Saldırganların Anthropic adına nasıl kötü amaçlı bir uzantı yayınlayabildiği ve ne düzeyde erişim elde ettiği soruları ise yanıtsız kalmaya devam ediyor.

Polymarket ve Keystone'da Üçüncü Taraf Güvenlik İhlalleri​

Tahmin piyasası platformu Polymarket, üçüncü taraf hizmet sağlayıcısı DebugBear'ın ele geçirilmesinin ardından işlemleri geçici olarak askıya aldı. Saldırganlar, kripto para boşaltan JavaScript kodunu DebugBear altyapısına yerleştirerek bir saat içinde 33 cüzdandan yaklaşık 2,7 milyon dolar çaldı. DebugBear, DNS kayıtlarının alan adı kayıt şirketi aracılığıyla ele geçirildiğini ve saldırının belirli bir müşterinin web sitesini hedef aldığını açıkladı. Donanım cüzdan üreticisi Keystone ise resmi web sitesinin bir üçüncü taraf veri izleme aracındaki güvenlik açığı yoluyla ihlal edildiğini duyurdu; saldırganlar müşteri bilgilerini ve cihaz doğrulama anahtarını ele geçirdi. Keystone, eski anahtarı taşıyan 18.835 cihazı imha etmeyi planladığını ve henüz gönderilmemiş siparişlerin askıya alındığını bildirdi. Öte yandan Trezor, Güneydoğu Asya'daki bayi CryptoBilis aracılığıyla satılan Trezor Safe 5 cihazlarına donanım düzeyinde kripto hırsızlığı implantı yerleştirildiğine dair güvenilir raporlar aldığını açıkladı.

Android Casus Yazılımı uCreator ve Kairos DDoS Botneti​

uCreator adlı ticari bir Android casus yazılımının Çin ve Güneydoğe Asya'daki mobil cüzdan ile mesajlaşma uygulaması kullanıcılarını hedef aldığı belirlendi. GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber ve MoMo uygulamalarını kapsayan bu yazılım, WeChat hesaplarını kopyalayabilme özelliğiyle de dikkat çekiyor. Kurbanlar, meşru uygulamaların yeniden paketlenmiş kopyalarını sideloading veya sosyal mühendislik yoluyla yükliyor. Güvenlik araştırmacısı Ovi Liber, yazılımın GodFather kötü amaçlı yazılımında gözlemlenen sanal kapsayıcı tekniğini kullandığını ancak sahte bir katman göstermediğini; bunun yerine uygulamayı doğrudan araçsallaştırdığını açıkladı. Ayrıca Nozomi Networks, Go tabanlı Kairos adlı yeni bir Linux kötü amaçlı yazılımını belgeledi. Kairos, ele geçirilen makineleri bir DDoS botnet düğümüne dönüştürüyor ve ilk erişimi varsayılan Telnet kimlik bilgileriyle sağlıyor.

GitHub Sırlarını Çalan Gheist Kampanyası ve Diğer Gelişmeler​

Gheist adlı otomatik bir kampanyanın, çalınan GitHub tokenları aracılığıyla erişebildiği her depoya "sync-check" adlı gizli bilgi sızdıran bir iş akışı yerleştirdiği ortaya çıktı. Google'a ait bulut güvenlik şirketi Wiz, 850'den fazla ele geçirilmiş hesaptan 13.500'ü aşkın dal kurtardığını açıkladı. Kampanya ilk kez Eylül 2026 ortasında tespit edildi. Bunların yanı sıra ChatGPT'de artık yamalanmış bir açık keşfedildi; saldırganlar sıradan bir paylaşım bağlantısını, oturum açmış kurbanın tarayıcısında çalışan JavaScript'e dönüştürebiliyordu. Parameter Labs'ın bulgularına göre bu açık, özel konuşma içeriklerinin dışarıya sızdırılmasına olanak tanıyordu.

Genişleyen Tehdit Yüzeyi: Arama Korsanlığı, Fidye Yazılımı ve IoT Açıkları​

Searchjacked adlı bir kampanyanın, toplamda 13,4 milyon kurulum bildiren 319 Chrome uzantısı aracılığıyla kullanıcıların aramalarını ele geçirdiği ve Microsoft Bing ile Yahoo'dan yönlendirme ödemeleri topladığı ortaya çıktı. Bu uzantılar Chrome Web Mağazası'nda yer almasına karşın listelenmemiş durumda ve mağaza içi aramalarda görünmüyor. Fidye yazılımı cephesinde ise Aur0ra fidye yazılımının arkasındaki tehdit aktörlerinin (Gold Ogre olarak da biliniyor) Cursor AI yardımıyla geliştirilen bir sömürü sonrası çerçeve kullandığı ve AI güvenlik önlemlerini yetkili kırmızı takım faaliyeti kılığına bürünerek aştığı belirlendi. Sophos'un bulgularına göre tehdit aktörleri başlangıçta neredeyse yalnızca Anthropic modellerini kullanırken sonradan diğer modelleri de devreye aldı. IoT güvenliği alanında ise Bitdefender ve NETGEAR'ın 2026 IoT Güvenlik Peyzajı Raporu, akıllı televizyonların güvenlik açığı gözlemlerinin yüzde 22,7'sini, akıllı prizlerin ise yüzde 22,4'ünü oluşturduğunu ortaya koydu.

Sıkça Sorulan Sorular​

TraderTraitor kimdir ve Binance'den ne kadar kripto para çaldı?​

TraderTraitor, FBI'ın Kuzey Kore ile ilişkilendirdiği bir bilgisayar korsanlığı grubudur. FBI'ın resmi açıklamasına göre grup, Binance'den 6,43 milyar dolar değerinde kripto para çaldı; bu rakam, tarihin en büyük kripto para hırsızlığı olarak kayıtlara geçti. Çalınan varlıkların yüzde 82'si Ethereum ve Bitcoin üzerindeydi; Tether, Circle, Ripple, Arbitrum ve Optimism ise 2,85 milyar doları zincir üzerinde dondurdu.

Volt Typhoon'un Silent Train altyapısı nasıl çalışıyor?​

Silent Train, güvenliği ihlal edilmiş SOHO yönlendiriciler, IoT cihazları ve kurumsal ekipmanlardan oluşan sürekli dönen bir zincire dayanan bir röle altyapısıdır. Volt Typhoon bu yapıyı yalnızca belirli hedeflere karşı kullanıyor, her operasyonun ardından izleri temizliyor ve altyapıyı düzenli olarak yeniliyor. Böylece saldırıların kaynağı gizleniyor ve tespit ile atıf güçleşiyor.

Cursor Marketplace'teki Claude Code uzantısı saldırısı kaç kullanıcıyı etkiledi?​

Cursor, olayın 5.000'e kadar kullanıcıyı etkilediğini açıkladı. Saldırganlar uzantının iki sürümünü değiştirerek etkilenen sistemlere kalıcı bir SSH arka kapısı kurdu. Cursor, anahtarlarını yeniledi, marketplace'i yeniden oluşturdu ve uzaktan erişim kabuğunu devre dışı bırakmak için bulut sağlayıcısıyla iş birliği yaptı.

uCreator Android casus yazılımı hangi uygulamaları hedef alıyor?​

uCreator, GCash, WeChat, WeCom, QQ, Telegram, WhatsApp, LINE, Zalo, KakaoTalk, Viber ve MoMo gibi mobil cüzdan ve mesajlaşma uygulamalarını hedef alıyor. Yazılım ayrıca WeChat hesaplarını kopyalayabilme özelliğine de sahip. Kurbanlar, meşru uygulamaların yeniden paketlenmiş kopyalarını sideloading veya sosyal mühendislik yoluyla cihazlarına yükliyor.

Keystone donanım cüzdan ihlalinde hangi veriler ele geçirildi ve şirket ne yapıyor?​

Saldırganlar, üçüncü taraf bir veri izleme aracındaki güvenlik açığını kullanarak isim, iletişim bilgileri, teslimat adresleri ve sipariş bilgilerini içeren 25.964 kayda; ayrıca isim, iletişim ve gönderim bilgilerini kapsayan 12.873 ödeme kaydına erişti. Bunların yanı sıra cihaz özgünlüğünü doğrulamak için kullanılan anahtar da ele geçirildi. Keystone, eski anahtarı taşıyan 18.835 cihazı imha etmeyi planladığını, gönderilmemiş siparişlerin askıya alındığını ve yeni anahtarla üretim tamamlanana dek satışların ön sipariş modeline geçeceğini açıkladı.