Binance Saldırısı Sahte Mülakat ve İç Yapay Zekâ Aracıyla Yapıldı: 6,3 Milyar Dolarlık Soygunun Hikâyesi

Binance saldırısı nasıl gerçekleşti sorusunun yanıtı, şirketin yayımladığı olay sonrası raporuyla ortaya çıktı. The Verge'ün aktardığına göre kripto tarihinin en büyük hırsızlığı, bilinen birkaç yöntemin aylara yayılan bir zincirle birleştirilmesiyle yapıldı. İşin başlangıcı haziranda bir geliştiricinin kötü amaçlı bir Google reklamıyla yayılan, kurcalanmış bir yükleyiciyi indirmesi.

Binance saldırısı adım adım nasıl ilerledi?

• Haziran: Bir geliştirici, kötü amaçlı bir reklamla dağıtıldığı belirtilen sahte bir yükleyiciyi indirdi. Bu, mühendisler ve çalışma biçimleri hakkında bilgi sızdırdı. Binance, bu ilk bulaşmayı tespit ettiğini ve çalışanın cihazını değiştirdiğini söylüyor.
• Eylül: Başka bir mühendis, işe almak isteyen biri gibi davranan bir kişi tarafından hedef alındı. Saldırgan görüşmeler ve birden fazla mülakat turu yaptı, güven kazanmak için sosyal medya sayfaları paylaştı ve sonunda sahte bir mülakat ödevi olarak sunulan kötü amaçlı yazılımı indirtti.
• Arka kapı: Bu ikinci saldırı pyenv çalıştırılabilir dosyasını silip yerine kötü amaçlı bir sürüm koydu ve saldırganlara arka kapı erişimi verdi. Binance'e göre uç nokta güvenlik araçları sıfırıncı gün (0-day) niteliğindeki bu yazılımı o sırada tespit edemedi.
• 20 Ekim: Saldırganlar, Binance'in kendi iç yapay zekâ aracını kullanarak haziranda ele geçirilen birinci mühendisin ve üçüncü bir çalışanın cüzdanlarının kontrolünü aldı.
• 29 Ekim: Üçüncü çalışanın bilgisayarına giriş yapıp asıl saldırıyı başlattılar.

Kim sorumlu tutuluyor?

The Verge'e göre FBI, saldırının arkasında “TraderTraitor” adlı Kuzey Kore bağlantılı bir birimi tanımlıyor. Binance'in 6,3 milyar dolarlık soygunu ve Kuzey Kore suçlamasını önceki yazımızda ele almıştık. 6,3 milyar dolar, 49,738 TL'lik kurla yaklaşık 313 milyar TL ediyor.

Bu yöntem neden önemli?

Raporda öne çıkan şey, saldırının tek bir güvenlik açığına dayanmaması. Kötü amaçlı reklam, sahte işe alım görüşmesi, meşru bir geliştirme aracının kötü amaçlı sürümle değiştirilmesi ve şirket içi bir yapay zekâ aracının kötüye kullanılması art arda geldi. The Verge, Axie Infinity'nin blokzincirinin de sahte bir LinkedIn iş teklifi yoluyla hacklendiğini bildirildiğini hatırlatıyor. Yazılım geliştiricilerin ve güvenlik ekiplerinin dikkat edebileceği noktalar:

• Tanımadığınız kişilerden gelen “mülakat ödevi” dosyalarını şirket cihazında çalıştırmamak.
• Geliştirme araçlarının (pyenv gibi) bütünlüğünü doğrulamak.
• Şirket içi yapay zekâ araçlarının cüzdan ve yetki erişimini sınırlamak.

Haberde, Türkiye'deki kullanıcılar veya borsa için ayrı bir bilgi yer almıyor.