Sahte iş görüşmesi Binance'ten 6,3 milyar dolarlık vurgun getirdi

Binance'teki 6,3 milyar dolarlık vurgun nasıl gelişti?

Her şey bir tedarik zinciri saldırısıyla başladı ve canlı bir görüntülü görüşmeyle sonuçlandı.

Binance'in salı günü yayımladığı olay raporuna göre saldırı Haziran ayında bir mühendisin kötü amaçlı bir Homebrew kurulumu indirmesiyle başladı. Güvenlik ekibi zararlı yazılımı tespit edip cihazı değiştirdi; ancak rapora göre mühendisin cüzdan altyapısı ekibindeki rolü çoktan açığa çıkmıştı.

Sosyal mühendislik ayağı Eylül'de devreye girdi. İkinci bir mühendisle, kendini proje direktörü olarak tanıtan biri meşru bir iş arama platformu üzerinden iletişime geçti. İlk görüşme, güven inşa etmek için kişisel fotoğraf ve videolar paylaşan sahte bir İK temsilcisiyle canlı video görüşmesiydi. Binance bunu 'daha önce görülmemiş, daha gelişmiş ve aldatıcı bir sosyal mühendislik yöntemi' olarak nitelendirdi.

Popüler bir sohbet uygulamasındaki takip görüşmesi, sahte CEO'nun mühendisten kötü amaçlı kod deposu içeren bir 'görev' dosyasını indirmesini istemesiyle sona erdi. Kod kurulum sırasında çalıştı ve sessizce meşru bir pyenv bileşenini zararlı bir sürümle değiştirdi.

Enfekte dizüstü bilgisayardan boşaltılan cüzdanlara

Zararlı yazılım uç nokta güvenliğine yakalanmadı ve saldırganlara bir dayanak sağladı.

Binance, uç nokta araçlarının zararlı betiği hemen işaretlemediğini, betiğin saldırgan kontrolündeki bir sunucuyla iletişim kurduğunu söylüyor. 20 Ekim'de hacker'lar, ele geçirilmiş makineyi ve dahili bir yapay zeka aracını kullanarak bir cüzdan DevOps mühendisinin ve başka bir cüzdan geliştiricisinin bilgisayarlarına ulaştı.

DevOps mühendisinin makinesinde bir konteyner dağıtım izin belirteci vardı. 29 Ekim'de saldırgan, çalınan kimlik bilgilerini kullanarak bir konteyner dağıttı ve kripto para çalan saldırıyı başlatan bir betiği tetikledi.

FBI, hırsızlığı Lazarus Grubu'yla bağlantılı Kuzey Kore operasyonu TraderTraitor'a atfetti. Aynı ekip, hem Batılı şirketlere IT çalışanı olarak sızmasıyla hem de mühendisleri zararlı yazılım indirmeye ikna eden işveren taklidiyle biliniyor. Daha önce FBI, Binance'ten 6,7 milyar dolarlık rekor soygunun arkasında da Kuzey Kore'nin olduğunu açıklamıştı; oyun kitabı pek değişmemiş.

Binance şimdi ne yapıyor?

Borsa, ele geçirilen sistemleri yeniden inşa etti ve kolluk kuvvetleriyle işbirliği yapıyor.

Binance, etkilenen cüzdan sistemini ve dahili yapay zeka aracını yeniden inşa ettiğini, tüm ele geçirilmiş cihazları değiştirdiğini ve ilgili mühendislere atanmış kimlik bilgileri ile belirteçleri devre dışı bıraktığını açıkladı. Şirket, varlıkların izini sürmek ve dondurmak için kolluk kuvvetleri, blok zinciri istihbarat firmaları ve güvenlik araştırmacılarıyla çalışıyor.

Borsa ayrıca olayı incelemek üzere bağımsız siber güvenlik uzmanları görevlendirdi ve blok zinciri ortamlarında yapay zeka güvenliğine odaklanan bir güvenlik araştırma fonu kurmayı planladığını duyurdu.

Türkiye'de durum ne?

Binance'in Türkiye'deki kullanıcıları için doğrudan bir açıklama henüz yok; ancak borsanın resmi duyurularını takip etmekte fayda var. Saldırının ardından çekim işlemlerinde veya varlık kurtarma süreçlerinde bir değişiklik olup olmadığı henüz bilinmiyor. Türkiye'de kripto varlıklara ilgi yüksek ve Binance yaygın kullanılan borsalardan biri; bu tür olaylar yerel yatırımcıların güvenlik endişelerini artırabilir.

Öte yandan, sahte iş görüşmesi yöntemi Türkiye'deki yazılımcılar için de bir uyarı niteliğinde. Özellikle yurt dışından gelen iş tekliflerinde, görüşme sırasında indirilen dosyalara ve paylaşılan kodlara karşı dikkatli olmak gerekiyor. LLMjacking gibi çalınan kimlik bilgilerinin maliyetini gösteren örnekler, bu tür ihlallerin ne kadar pahalıya patlayabileceğini hatırlatıyor.

Binance soygunu, tek bir enfekte dizüstü bilgisayarın ve inandırıcı bir iş görüşmesinin milyarlarca dolarlık kayba nasıl yol açabileceğinin ders kitabı örneği. Kripto borsaları çevre güvenliğini sıkılaştırdıkça saldırganlar giderek daha fazla içerideki insanları hedef alıyor.