Binance’in yayımladığı olay raporu, 29 Ekim’de yaklaşık 6,34 milyar dolarlık dijital varlığın transfer edildiği saldırının giriş noktasını ortaya koydu. Şirkete göre kapıyı kıran şey bir güvenlik duvarı açığı değil, iş arayan bir yazılım mühendisinin merakıydı.
LinkedIn’den başlayan av
Eylül ayında Binance’in cüzdan ekibinde çalışan bir mühendis, meşru bir iş arama platformu üzerinden kendini bir proje direktörü olarak tanıtan kişiyle temasa geçti. Görüşme süreci baştan sona kurgulanmıştı. İlk turda insan kaynakları temsilcisi rolündeki biriyle canlı video görüşmesi yapıldı; karşı taraf güven vermek için kişisel fotoğraf ve videolarla dolu bir sosyal medya hesabı bile paylaştı. İkinci tur ise sohbet uygulaması üzerinden, kendini şirketin CEO’su olarak tanıtan kişiyle gerçekleşti.
Kuzey Kore bağlantılı grupların yıllardır kullandığı bu yöntem, güvenlik literatüründe sahte iş görüşmesi kampanyası olarak biliniyor. Hedef seçimi rastgele değil; cüzdan altyapısına erişimi olan kıdemli geliştiriciler özellikle aranıyor.
Zehirli kodlama ödevi
İkinci görüşmenin sonunda mühendisten teknik ödev bahanesiyle bir kod deposunu iş bilgisayarına indirmesi ve çalıştırması istendi. Depodaki zararlı kod, kurulum sırasında popüler bir geliştirici aracının meşru bileşenini kendi sürümüyle değiştirdi. Binance raporuna göre bu yazılım daha önce görülmemiş, özel olarak hazırlanmış bir zararlıydı ve uç nokta güvenlik araçlarına yakalanmadı.
Kötü amaçlı yazılım alarm üretecek işlemler yapmadı. Cihaza yerleşip saldırganlardan komut alacak şekilde bekledi ve aylar boyunca iç ağdaki hareketi izledi. Bu sessiz bekleme aşaması, olayın fark edilmesini geciktiren temel etken oldu.
Şirket içi yapay zeka aracı sıçrama tahtası oldu
Saldırganlar 20 Ekim’de ele geçirdikleri bilgisayarı ve şirketin dahili yapay zeka aracını kullanarak cüzdan altyapısında çalışan iki mühendisin sistemlerine ulaştı. Bu aşamada kimlik bilgileri ve bir konteyner dağıtım token’ı ele geçirildi. Kurumsal yapay zeka asistanı burada hem keşif hem de yanal hareket için kullanıldı.
29 Ekim’de çalınan kimlik bilgileriyle kötü amaçlı bir script devreye alındı ve borsanın cüzdan imzalama servisine yetkisiz erişim sağlandı. Transferler birden fazla blok zincirinde eşzamanlı olarak başlatıldı.
2,85 milyar dolar donduruldu
Binance, yaklaşık 2,85 milyar dolarlık kısmın dondurulduğunu veya engellendiğini, etkilenen varlıkların %98’inin tazmin edildiğini açıkladı. Şirket kullanıcı fonlarının zarar görmediğini, açığın kendi güvenlik rezervinden karşılandığını duyurdu.
FBI saldırıyı Kuzey Kore devletiyle bağlantılı TraderTraitor kümesine bağladı; aynı grup Lazarus ve APT38 adlarıyla da izleniyor. Zincir üstü analiz şirketleri transfer edilen adreslerin bu yapıya ait olduğunu doğruladı.
İşe alım süreci artık bir saldırı yüzeyi
Olayın en can alıcı tarafı, savunmanın teknik katmanlarının aşılmamış olması. Saldırganlar şifre kırmadı, sıfır gün tarayıcısı çalıştırmadı; sadece bir insanın kariyer fırsatına duyduğu ilgiyi kullandı. Bu yüzden kurumlar için ilk kural, harici kaynaktan gelen hiçbir kodun yalıtılmamış bir iş istasyonunda çalıştırılmaması. İkincisi, işe alım süreçlerinin kimlik doğrulamasının ayrı bir güvenlik kontrolünden geçmesi. Üçüncüsü ise dahili yapay zeka araçlarının yetkilerinin, erişebildikleri sistemler kadar sıkı denetlenmesi.
Kaynak: WebTuring
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.