---
title: "Bitget Saldırısı - 388 Milyon Dolar Yok Oldu"
description: "2026'daki Bitget ihlali, müşteri bakiyeleri teminat altında olsa bile bir güvenlik açığının para çekme işlemlerini nasıl dondurabileceğini gösteriyor."
language: tr
published: 2026-10-06
author: Netts
topic: "Haberler"
canonical: https://netts.io/blog/bitget-hack-388-million-gone?lang=tr
languages: [en, ru, es, zh, th, fr, uk, tr, hi, fa, ar, ha, pt, vi, ko, ja, id, de, tl]
translation_outdated: false
---
# Bitget Saldırısı - 388 Milyon Dolar Yok Oldu

2026'daki Bitget ihlali, müşteri bakiyeleri teminat altında olsa bile bir güvenlik açığının para çekme işlemlerini nasıl dondurabileceğini gösteriyor.

Su ısıtıcısı kaynamaya başlamadan önce Mira, Bitget uygulamasına bakar. USDT bakiyesinin yanındaki rakam normal görünmektedir, ancak para çekme ekranı öyle değildir. Sayfayı bir kez ve ardından tekrar yeniler; çünkü bir bakiye telefonda görünüyorsa, tıpkı bir banka hesabındaki para gibi erişilebilir olmalıdır. Bir bildirimde, borsa bir güvenlik olayını incelerken para çekme işlemlerinin askıya alındığı belirtilmektedir. Mesaj sakindir ancak mutfağındaki hava hiç de öyle değildir.

Dört gün içinde ödenmesi gereken bir kira ve ödeme bekleyen bir tedarikçi vardır. Parası hâlâ ekranda görünmesine rağmen onu transfer edemez. Duyuruyu açar ve tutarın artık neredeyse dört yüz milyon dolara ulaştığını görür; rakam o kadar büyüktür ki gözde canlandırmak imkânsızdır, bu yüzden meblağı zihninde küçültür ve kendi birkaç bin dolarının bu miktarın bir parçası olup olamayacağını sorar. Bitget, müşteri bakiyelerinin etkilenmediğini belirtmektedir. Bu nokta önemlidir, ancak grileşmiş butonun kilitli bir kapı gibi hissettirmesini engellemez.

Mira kurgusal bir müşteridir, kayıtlara geçmiş gerçek bir mağdur değildir. Bu sabah rutini, Bitget saldırısının merkezindeki asıl farkı ortaya koymaktadır: Borsa, çalınan fonların müşterilerin hesap bakiyelerinden ya da soğuk cüzdan varlıklarından değil, para transferi için kullanılan sıcak ve ılık cüzdanlardan kaynaklandığını belirtmektedir. Yine de insanlar, fonlarını çekmek için güvendikleri sistem üzerinden bu olayı bizzat deneyimlemişlerdir. Bir kişi tutarın transfer edilip edilemeyeceğini öğrenmeyi beklerken, bir defter kaydı hiçbir şeyden etkilenmediğini iddia edebilir.

## Uygulamayı Donduran Rakam

24 Eylül 2026'da Bitget, bazı sıcak ve ılık cüzdanlarından yetkisiz transferler yapıldığını fark etti. Şirket daha sonra söz konusu miktarın on iki cüzdan adresine dağıtılmış yaklaşık 388 milyon dolar olduğunu tahmin etti. Transferler birçok ağı ve varlık türünü etkilemişti. Uygulamayı kullanan bir müşterinin doğuracağı sonuçları anlamak için tüm zincirleri bilmesine gerek yoktu: Platform, ne olduğunu araştırırken para çekme işlemlerini askıya almıştı.

![Bitget Saldırısı - 388 Milyon Dolar Yok Oldu](https://netts.io/blog/images/body/7124ee7aecdbf473bf0bcfd95861a42b3a834587-810.webp)

Bitget, özel anahtarlarının ele geçirilmediğini ve platformun varlıklarının çoğunu barındıran soğuk cüzdanlarının etkilenmediğini öne sürdü. Daha sonra Bitget, Mandiant ve SlowMist ile iş birliği içinde bir soruşturma yürüttüğünde saldırının kaynağı üçüncü taraf bir güvenlik ürününe bağlandı; saldırganlar bir güvenlik açığından yararlanmış, ayrıcalıklı kurum içi kimlik bilgilerini ele geçirmiş ve ardından cüzdanlarla ilgili arka uç sistemlerine sahte para çekme talimatları yerleştirmişti. Bu sahte talimatlar, normalde onları sorgulaması gereken süreçler tarafından gerçek kabul edilmişti.

Bu durum, bir hırsızın tek bir ana anahtarı alıp tüm kasayı boşalttığı senaryolardan oldukça farklıdır. Ayrıca bir cüzdanın yalnızca bir anahtardan ibaret olmadığını; aslında insanların, erişim kontrollerinin, yazılımların, tedarikçilerin, izleme tesislerinin ve hangi komutların olağan göründüğüne dair kararların bir bütünü olduğunu da göstermektedir. Anahtarın kendisi gizli kalabilirken, çevresindeki mekanizma yanlış talebi imzalamaya yönlendirilebilir. Müşteri, borsanın logosunu görür ve haklı olarak tek bir güvenlik sınırı olduğunu varsayar; ancak içeride, her birinin farklı sahipleri ve farklı varsayımları olan bir dizi sistem bulunabilir.

Adli bilişim zaman çizelgesi, bu aksaklığın daha az ani görünmesine neden olmaktadır. Blokzincir analitik şirketi Bitquery, o akşamın erken saatlerinde TRX cinsinden küçük bir ödeme ve bir miktar ETH dahil olmak üzere bazı küçük test transferlerini zaten takip etmişti. Ardından, çeşitli ağlarda dalgalar halinde daha büyük miktarlar taşındı. Bitget daha sonra izleme sisteminin faaliyeti UTC ile 19:05'te yakaladığını ve bu nedenle müşterilerin para çekme işlemlerini engellediğini belirtti, ancak cüzdanlarından yapılan transferler bu uyarı verildikten sonra da devam etti. Bitquery'nin kaydettiği son transferler iki saatten fazla bir süre sonra gerçekleşti. Bir dedektör dumanı fark etmiş olsa da binanın iç kapılarının yine de kapatılması gerekiyordu.

Bir gecikmenin olması, her bir denetimin aynı şekilde başarısız olduğunu kanıtlamaz ve kamuya açık işlem kayıtlarının her dahili kararı göstermesi mümkün değildir. Bunun yerine, bilinen bir sloganın ne kadar çabuk yetersiz hale geldiğini gösterirler. "Soğuk depolama" bir borsanın varlıklarının büyük bir kısmının nerede tutulduğunu ifade etse de müşterilere hizmet vermek için gereken tüm hareketleri kapsamaz; hızlı para çekme işlemlerinin yapılabilmesi için sıcak cüzdanlar vardır ve bunları yeniden doldurmak için ılık cüzdanlar kullanılır. Platform, güvenlik ile erişilebilirlik arasında bir denge kurmak zorundadır. Saldırgan, bu iki taahhüt arasındaki bağlantı dokusunu aşmanın bir yolunu bulmuştur.

Bu durum ayrıca, bir tedarikçinin müşterinin aklındaki listede yer almasa bile borsanın güvenlik sınırının bir parçası haline nasıl gelebileceğini de göstermektedir. Bitget, etkilenen ürünlerin adını vermedi. CNBC'ye göre Mandiant ve SlowMist, iki üçüncü taraf güvenlik ürününün ele geçirildiğini ve SlowMist'in mevcut günlüklerdeki ilk kötü amaçlı etkinliği 31 Ağustos'a kadar takip edebildiğini keşfetti. Bu, hırsızlığın blokzincirde belirgin hale gelmesinden haftalar öncesiydi. Bir müşteri, hakkında bilgilendirilmediği bir tedarikçiyi değerlendiremez. Tedarikçiyi değerlendirme görevi borsaya aittir ve tedarikçi de sahip olduğu erişime borsanın kendi anahtarlarını tutuyormuş gibi yaklaşmalıdır.

## “Teminat Altında” Olmanın “Erişilebilir” Anlamına Gelmediği Durumlar

Bitget, müşterilerinin hesaplarındaki bakiyelerin hâlâ doğru olduğunu ve şirketin zararı üstleneceğini belirtti. Saldırıdan önce 464 milyon doların üzerinde bir değere sahip olan Koruma Fonu'na atıfta bulunuldu; şirkete ve CNBC'nin haberlerine göre, olayın sonucunda fon kullanıldı ve ardından Bitget'in kendi rezervlerinden 300 milyon doların üzerine çıkarılacak şekilde yeniden dolduruldu. Ek olarak Bitget, rezervleri hakkında bilgi yayımladı ve fonun zincir üstünde kontrol edilebileceğini belirtti.

Bu makul bir yanıttır. Bir şirketin zararı karşılamak için kendi sermayesini kullanması, kullanıcıları teminatsız alacaklılardan oluşan uzun bir kuyruğa girmeye davet etmekten farklıdır. Ancak bu, ihlali önlemekle eşdeğer değildir. Sigorta ve rezervler, bir sorun oluştuktan sonra ödeme yapmanın bir yöntemidir; yetkisiz bir transferi durduran denetimlerin yerini alamazlar. Aradaki farkı ifade etmek kolay olsa da para çekme butonu devre dışı bırakıldığında bunu idrak etmek daha zordur.

![Bitget Saldırısı - 388 Milyon Dolar Yok Oldu](https://netts.io/blog/images/body/1f560df98267d2c38062cd9e34383e40cfcca332-1067.webp)

Mira söze fonun değerlemesini tartışarak başlamaz. Bunun yerine, uygulama artık kendisinden uzaklaşamadığı bir hale geldiğinden, "bakiyeniz etkilenmedi" ifadesine güvenip güvenemeyeceğini sorgular. Bunlar birbiriyle ilişkili ancak farklı konulardır. Bir borsa bir zararı karşılamak için yeterli varlığa sahip olabilir ve yine de bir soruşturma sürerken para çekme işlemlerini askıya alma kararı verebilir; daha sonra hizmetlerini yeniden başlatabilir ve yine de müşterilerine borsada ne kadar tutmak istediklerini yeniden düşünmeleri için bir neden vermiş olabilir. Ödeme gücü, şirketin yükümlülüklerini yerine getirip getiremeyeceği ile ilgilidir; erişim ise müşterinin ihtiyaç duyduğunda parasını kullanıp kullanamayacağını ele alır. Güven, bu ikisinin arasında yer alan insani unsurdur.

Bitget, para çekme işlemlerini kademeli olarak yeniden başlattı; 28 Eylül'de ilk olarak Bitcoin, ertesi gün Ether ve bir dizi EVM ağı ve 30 Eylül'de USDT açıldı. Şirket, varlıkların geri kalanının, fiat hizmetlerinin ve eşler arası para çekme işlemlerinin 2 Ekim'de yeniden başlayacağını belirtti. Kademeli bir yeniden açılış gerçekleştirmek operasyonel açıdan mantıklıdır, çünkü her ağın ve varlığın kendine ait bir doğrulama süreci vardır. Ancak müşteriler için bu, tek bir sözün birkaç güne bölünmesi etkisini yaratır. Bir kişinin varlığı Salı günkü listede görünürken bir başkasınınki Cuma günkü listede yer alır. Bir takvim krizi hafifletmeye yardımcı olsa da insanların saatleri saymasına neden olmaya devam eder.

Şirket, bu takvimin tüm hesap seviyeleri için geçerli olduğunu belirtti. Bu önemlidir, çünkü bir duraklama müşterilerin daha önemli birine öncelikli erişim verileceğini düşünmesine yol açabilir. Tutarlı bir politika, adaletin küçük bir örneğidir; her ne kadar adalet gecikmeyi daha az can sıkıcı kılmasa da. Bir kriz anında insanlar sadece bir şirketin hizmeti geri getirip getiremeyeceğini değil, aynı zamanda kendilerine bakiye kuyruğundaki birer girdi gibi değil de birey olarak muamele edilip edilmeyeceğini de bilmek isterler.

Bitget, 2 Ekim'de CNBC'ye yaptığı açıklamada, çalınan fonların yaklaşık 1,1 milyon dolarının dondurulduğunu ve varlıkların dondurulmasının iade edildikleri anlamına gelmediğini belirtti. CEO Gracy Chen, büyük kripto hırsızlıklarının gidişatı göz önüne alındığında büyük bir miktarın geri kazanılmasını beklemediğini açıkladı. Borsa, fonların dondurulması veya geri alınmasıyla sonuçlanan çabalara yardımcı olan kişileri teşvik etmek için bir ödül programı oluşturmuştu. Bu noktalar dramatik ya da sinematik değildir. Bir dondurma işlemi geçici olabilir, zincirler arası işlemler takibi zorlaştırabilir ve yalnızca bir adres etiketine sahip olmak paranın borsanın cüzdanına geri konmasını sağlamaz. Fonların geri kazanımı; çeşitli zincirler, ihraççılar, köprüler, borsalar, araştırmacılar ve hırsızın kendi kararları arasındaki müzakereleri içerir.

## Bir Denetim Hatası ve Güven Sorunu

Bir saldırının olası seyri hoş olmayan bir ders içerir. Şirketler, herhangi bir şirketin altyapısının her bir bileşenini sıfırdan inşa etmesi imkânsız olacağından üçüncü taraflarca sağlanan güvenlik ürünlerini kullanırlar. Görevlerini yerine getirebilmek için bu tedarikçilerin erişime ihtiyacı vardır ve bu erişim, bir kriz sırasında belirleyici olacak kadar güçlü hale gelebilir. Borsanın kamuya açık yüzü olarak yalnızca tek bir uygulaması olsa da güvenlik sınırı, müşterinin adını hiç duymadığı bir şirket tarafından geliştirilmiş yazılımları içerebilir. Dolayısıyla zayıf bir nokta, en sonunda para çekmek için beklemek zorunda kalan kişiden çok uzakta bulunabilir.

![Bitget Saldırısı - 388 Milyon Dolar Yok Oldu](https://netts.io/blog/images/body/a25165d0d3d81ba6768977445cd787aab63a5b48-694.webp)

Bitget tarafından yürütülen soruşturma, saldırganların ayrıcalıklı kimlik bilgilerini kullandığını ve cüzdan sistemlerinin geçerli kabul ettiği sahte komutlar verdiğini ortaya çıkardı. Her bir müşterinin kötü amaçlı bir bağlantıya tıklamasını sağlamalarına gerek yoktu; borsanın kendi sistemlerinin, talebi kimin yaptığına dair iddiayı kabul etmesi yeterliydi. Bu saldırı endişe vericidir çünkü temel bir güvenlik sorununu tersine çevirmektedir: Mesele yalnızca anahtarları kimin tuttuğu değil, aynı zamanda onları tutan kişinin bir talimatın meşru olduğuna inanmasını kimin sağlayabileceğidir. Ek güvenlik katmanları, yalnızca birbirleriyle çelişebildikleri ve hatalı bir talimatın para transferine yol açmasını engelleyebildikleri zaman yararlıdır.

Soruşturmayı yürütmek üzere Mandiant ve SlowMist görevlendirildi ve şirket; dahili izinlerini sıkılaştırdığını, kimlik bilgilerini sıfırladığını, etkilenen özellikleri devre dışı bıraktığını ve para çekme işlemleri için bağımsız denetimler getirdiğini belirtti. Ancak bu önlemler, düzeltme sürecinin yalnızca başlangıcını işaret eder ve tek başlarına ne olduğuna dair tam bir açıklama teşkil etmezler. Müşteriler, sürecin hangi yönlerinin değiştirildiğini ve borsanın bunları nasıl test edeceğini bilme hakkına sahiptir. Adli bilişim dili ihlali tanımlayabilse de müşterilerin açıklamayı kabul etmesi ancak daha güvenli operasyonların tekrar tekrar kanıtlanmasıyla mümkün olur.

## Bekleyen Kişi

İnsanlar bir güvenlik raporunu teknik bir şema olarak görmez; bunun yerine onu bir telefon görüşmesiyle, bir destek sohbetiyle, geciken bir ödeme nedeniyle ve bir akrabasından beklemesini istemenin getirdiği hafif utançla öğrenirler. Bazıları risk alabilecekleri ve gözden çıkardıkları parayla işlem yaparken, diğerleri stabilcoinleri nakit çekmecesinin kullanışlı bir biçimi olarak görmüştür. Aynı USDT bakiyesi bir kişi için spekülatif bir yatırımı, bir diğeri içinse gelecek ayın maaş bordrosu için gereken tutarı temsil edebilir. Platformun arayüzü bu farkı ayırt edemez.

Çalınan miktarın korkunun boyutuyla birebir örtüşmemesinin nedeni budur. Üç yüz seksen sekiz milyon dolarlık meblağ tarihi bir miktardır. Ancak bin dolar yatırmış bir kullanıcı, toplam tutarı borsanın toplam rezervlerine bölerek kendini teselli edemez. Tek sorduğu, yapmayı planladığı transferi gerçekleştirip gerçekleştiremeyeceğidir. Cevap hayır olduğunda, soyut bir karşı taraf riski doğrudan haneyi etkileyen bir duruma dönüşür.

Borsa velayeti ahlaki bir asimetri içerir. Müşteriler bir uygulamayı kısmen özel anahtarları yönetme, yedekleme, cihaz güvenliği ve hata yapma riskini üstlenmek istemedikleri için seçerler. Sonuç olarak borsa, daha olgun olan taraf rolünü üstlenir. Müşteriler hıza değer verdiği için sıcak cüzdanları elinde tutmayı meşrulaştırabilir ve modern güvenlik bir dizi farklı üründen oluştuğu için tedarikçilerden faydalanabilir. Ancak bu tür bir mimarinin getirdiği duygusal yükü zincirin alt basamaklarına aktarıp bunu teknik bir ayrıntı olarak adlandıramaz; bir platforma güven duymuş bir kullanıcı, tedarikçinin erişim modelini bireysel olarak kabul etmiş değildir.

![Bitget Saldırısı - 388 Milyon Dolar Yok Oldu](https://netts.io/blog/images/body/7a771e6b5f28491525a680966aebb661db70d94b-972.webp)

'Kendi anahtarlarına sahip olmama' fikri de insanların günlük hayatta karşılaştığı tüm sorunları çözmez. Kişisel velayet (self-custody) bireye doğrudan kontrol sağlasa da kişinin kurtarma ifadesi, cihaz arızası, fonları yanlış adrese gönderme ve işlem ücretini ödemek zorunda olma gibi her durumla kendisinin ilgilenmesi gerektiği anlamına gelir. En iyi seçenek, bir kişinin neyle başa çıkabileceğine bağlı olacaktır. Bir güvenlik ihlali gerçekleştikten sonra bağımsızlığı savunmak bir şeydir, ancak kolaylığın kişisel bir başarısızlık göstergesi değil, gerçek bir ihtiyaç olduğunu kabul etmek daha zordur. Bitget kullanıcıları anahtarlarından dikkatsiz oldukları için vazgeçmediler; bilakis, anahtar velayetini yönetmeyi kolaylaştırmak için tasarlanmış bir ürünü kullandılar.

Yaşanan şok insanların maksimalist olmasına yol açmaz; Mira kısa vadeli taahhütleri için ihtiyaç duyduğu miktarı hesabından çekebilir, borsada daha küçük bir işlem bakiyesi tutabilir ve platformun rezerv kanıtı duyurularına daha büyük bir şüpheyle yaklaşabilir. Uygulama pratik olduğu için eninde sonunda geri dönebilir. İnsanlar korkutucu bir sabahın ardından kesin ve tek bir karar vermezler; bunun yerine bir dizi ayarlama yapar ve ardından yeni sınırın artık sürdürdükleri hayata uyup uymadığını kontrol ederler.

En doğru hareket tarzı, müşterileri merkezi bir borsa kullandıkları için suçlamak değildir. Bunun yerine, borsanın olayın ardından ne yaptığını sorgulamalıyız: neleri kamuoyuna açıkladığını, sorunu ne kadar hızlı kontrol altına aldığını, bağımsız bir analiz ayarlayıp ayarlamadığını, erişimi açık ve düzenli bir şekilde geri getirip getirmediğini ve koruma fonunun neyi vaat edip neyi vaat etmediğini açıklayıp açıklayamayacağını. Bir rezerv oranı önemli olsa da mucizevi değildir. Kamuya açık bir cüzdan adresi, belirli bir andaki varlıkları doğrulamak için yararlıdır. Yine de bunların hiçbiri tüm para çekme yollarının güvenli olduğunu göstermez.

Sorun borsaların sınırlarını aşmaktadır. Değer yönlendirmesinde yer alan herhangi bir hizmet, diğer uçtaki adresi dikkate almalıdır. Bir transferin meşru bir platformdan çıkması ve ardından hırsızlık, oltalama veya yaptırım ihlallerine karışmış bir cüzdandan geçmesi mümkündür. Örneğin Netts, kontrollerin eksik olduğu veya güncelliğini yitirdiği durumlar için arıza emniyetli bir kurala sahip olmak dahil olmak üzere kaynakları tahsis etmeden önce TRON Energy ve Bandwidth taleplerini ortak bir ret listesine göre denetler. Ancak bu durum bir borsa saldırısını çözmez veya borsanın kendi uyum çabalarının yerini almaz. Yalnızca basit bir işlem altyapısı katmanının hangi taleplere hizmet vermeye hazır olduğunu nasıl belirleyebileceğini gösterir.

## Bildirim Çubuğu Kaybolduktan Sonra

Güvenlik olayları ana sayfadan hızla kaybolur, ancak bir müşterinin rutinine yerleşebilir. Birinin bir fiyatı kontrol etmek için aynı uygulamaya geri dönmesi, ancak para çekme sekmesine geldiğinde duraklaması mümkündür. Bu duraklama mantıksız değildir ve borsanın bir kez daha başarısız olacağı anlamına gelmez; yalnızca bedenin, görüntülenen bakiye ile fiilen kullanılabilir olan para miktarının aynı şey olmadığını hatırlamasıdır.

Bitget için Ekim ayındaki yeniden açılışın ardından gelen zorlu çalışma, para çekme takviminden daha az belirgindir: Güveni yeniden tesis etmek için çalışmalı, yapılan değişiklikleri göstermeli, ihlale ilişkin resmi bir açıklama yayımlamalı ve aynı yolun tekrar izlenemeyeceğini kanıtlamalıdır. Şirket, dahili kimlik bilgilerini sıfırladığını, yüksek ayrıcalıklı erişimi daha kısıtlayıcı hale getirdiğini, etkilenen tedarikçinin işlevselliğini kapattığını ve para çekme işlemleri üzerindeki bağımsız kontrolleri geliştirdiğini belirtti. Bu adımlar birer vaattir; değerleri ne kadar iyi uygulandıklarına ve devam eden incelemelere bağlı olacaktır.

Müşteriler için çıkarılacak ders, tavsiyenin yalnızca "asla bir borsa kullanmayın" demekten öteye geçtiğidir. Borsada yalnızca kendi hayatınızda oynadığı rol göz önüne alındığında uygun olan miktarı tutmalısınız. Hangi bakiyelerin harcama için kullanıldığını, hangilerinin uzun vadeli yatırımlar olduğunu ve hangilerinin işlerin en uygunsuz zamanda ters gitmesi durumunda teminat işlevi gördüğünü bilmeniz gerekir. Kiralara veya maaşlara ödeme yapmak için anında para çekme işlemlerine bağımlıysanız, alternatif bir yönteminiz olduğundan emin olun. Borsanın tanıdık renklerini erişim kontrolüne sahip olmakla eşdeğer görmeyin.

Mira sonunda transferini gerçekleştirir; tedarikçi ikinci mesajı gönderdiğinde vakit artık geç olmuştur. Parasını kaybetmez ve borsa onun hesabını maddi olarak etkilememiştir. Yine de bakiyenin görünür olduğu ancak erişilebilir olmadığı o yarım saati hatırlar. Bu anı, başka birinin işleri gözettiğine inanmasına yol açan bir sonraki ürüne geçerken de onunla birlikte kalacaktır.

![Bitget Saldırısı - 388 Milyon Dolar Yok Oldu](https://netts.io/blog/images/body/feaff28dbdb1355999ee04b13ee7687519903791-1306.webp)

Bir sonraki adım TRON üzerinde USDT transfer etmeyi içerdiğinde, Netts’in USDT Transfer Hesaplayıcısı transfer gerçekleşmeden önce hem gönderici hem de alıcı tarafından ihtiyaç duyulan Energy ve Bandwidth miktarını tahmin eder. Bu, müşterinin düşük USDT ücreti seçeneğini standart TRX yakımı ile karşılaştırmasına ve işlem için mevcut en iyi USDT ücretlerini belirlemesine olanak tanır; böylece bu küçük, kontrol edilebilir maliyet cüzdan onay talep etmeden önce verilen bir karara dönüşür.