Kripto para borsası Binance, 6,3 milyar dolarlık varlığın çalındığı siber saldırıya ilişkin yayımladığı ayrıntılı inceleme raporunda, saldırganların sahte iş görüşmelerinden zararlı yazılımlara ve şirket içi yapay zekâ araçlarına kadar farklı yöntemlerden yararlandığını açıkladı. Şirketin paylaştığı bilgilere göre, haziran ayında başlayan saldırı süreci birkaç ay boyunca devam etti ve ekim ayının sonunda yetkisiz kripto para transferleriyle sonuçlandı. ABD Federal Soruşturma Bürosu (FBI), saldırının arkasında Kuzey Kore bağlantılı TraderTraitor adlı hacker grubunun bulunduğunu belirledi. Binance, güvenlik sistemlerinin ilk zararlı yazılımı tespit etmesine rağmen sonraki saldırıları engelleyemediğini kabul etti. Şirket, kullanıcıların maddi kayıplardan etkilenmeyeceğini ve çalınan varlıkların yaklaşık 2,85 milyar dolarlık bölümünün dondurulduğunu veya ele geçirildiğini belirtiyor.
Binance tarafından yayımlanan saldırı sonrası inceleme raporu, saldırganların şirket çalışanlarını hedef alan yöntemlerini ayrıntılarıyla ortaya koyuyor. İlk güvenlik ihlali, haziran ayında bir yazılım geliştiricinin değiştirilmiş bir yükleme dosyasını bilgisayarına indirmesiyle gerçekleşti. Söz konusu dosyanın, zararlı içerik barındıran bir Google reklamı üzerinden dağıtıldığı düşünülüyor. Bu yazılım sayesinde saldırganlar, şirket mühendislerine ve kullandıkları çalışma yöntemlerine ilişkin bilgilere erişebildi. Binance güvenlik ekibi, ilk zararlı yazılımın kurulduğunu tespit etti ve etkilenen çalışanın bilgisayarını değiştirdi. Ne var ki bu müdahale, saldırganların sonraki aylarda farklı çalışanlara yönelmesini önleyemedi.
Eylül ayında gerçekleştirilen ikinci saldırıda ise daha kapsamlı bir sosyal mühendislik yöntemi kullanıldı. Saldırganlar, Binance bünyesindeki başka bir mühendisle iş fırsatı sunma bahanesiyle iletişime geçti. Gerçek bir işe alım süreci izlenimi oluşturmak için birden fazla görüşme düzenlendi ve aday değerlendirme aşamalarına benzeyen görüşmeler gerçekleştirildi. Bunun yanı sıra güven kazanmak amacıyla sosyal medya profilleri paylaşıldı. Görüşmelerin ilerleyen aşamalarında mühendisten teknik bir değerlendirme ödevi indirmesi istendi. Fakat iş görüşmesinin parçası gibi sunulan dosya, çalışanın bilgisayarına zararlı yazılım yerleştirmek için hazırlanmıştı.
Binance saldırısında zararlı yazılım ve şirket içi yapay zekâ aracı nasıl kullanıldı?
Binance’in açıklamasına göre, ikinci aşamada kullanılan zararlı yazılım güvenlik çözümlerinden kaçınmak için gelişmiş gizleme tekniklerinden yararlandı. Saldırganlar, yazılım geliştirme ortamlarında Python sürümlerinin yönetilmesinde kullanılan pyenv aracının çalıştırılabilir dosyasını silerek yerine zararlı bir sürüm yerleştirdi. Böylelikle normal bir geliştirme aracının çalıştırılması sırasında saldırganların hazırladığı komutların yürütülmesi mümkün hâle geldi. Zararlı yazılım, dışarıdaki saldırgan kontrolündeki bir sunucuyla iletişim kurulmasını ve etkilenen bilgisayara arka kapı üzerinden erişilmesini sağladı. Binance, o sırada kullanılan uç nokta güvenlik çözümlerinin söz konusu sıfırıncı gün zararlı yazılımını tespit edemediğini belirtiyor.
Saldırganların bilgisayardaki faaliyetlerini gizlemek ve güvenlik ihlaline ilişkin izleri ortadan kaldırmak için de çeşitli yöntemlere başvurduğu aktarılıyor. Bu durum, saldırının gerçekleştiği sırada tespit edilmesini zorlaştırdığı gibi sonrasında yürütülen incelemeleri de karmaşıklaştırdı. Özellikle yaygın kullanılan bir geliştirme aracının zararlı sürümle değiştirilmesi, çalışanların günlük iş akışları sırasında farkında olmadan saldırganların hazırladığı kodları çalıştırmasına neden olabiliyor. Üstelik zararlı yazılımın kendisini olağan geliştirme faaliyetleri arasında gizlemesi, yalnızca bilinen tehditleri arayan güvenlik araçlarının yetersiz kalmasına yol açabiliyor. Binance’in raporu, ikinci saldırının neden ilk güvenlik ihlalinden sonra alınan önlemlerle engellenemediği konusunda bazı ayrıntılar sunsa da güvenlik kontrollerinin bütününü açıklamıyor.
Saldırının sonraki aşamasında şirket içi yapay zekâ aracının kullanılması dikkat çekiyor. Binance’in aktardığı olay akışına göre saldırganlar, 20 Ekim itibarıyla şirketin kendi yapay zekâ sisteminden yararlanarak haziran ayında hedef alınan ilk mühendisin cüzdanlarına erişim sağladı. Aynı yöntemle üçüncü bir çalışanın cüzdanları üzerinde de kontrol elde edildiği belirtiliyor. Ardından 29 Ekim’de üçüncü çalışanın bilgisayarına giriş yapıldı ve kripto para varlıklarını hedef alan işlemler başlatıldı. Bununla birlikte Binance, söz konusu yapay zekâ aracının hangi yetkilere sahip olduğunu, saldırganların bu aracı nasıl kullandığını ve sistemin yetkisiz erişime neden engel olamadığını ayrıntılı biçimde açıklamadı.
Saldırının teknik boyutunda sıcak cüzdan altyapısında kullanılan Çok Taraflı Hesaplama (Multi-Party Computation veya MPC) sistemi de yer alıyor. MPC, kripto para işlemlerinde kullanılan anahtarların tek bir noktada tutulması yerine birden fazla taraf arasında dağıtılmasına dayanan bir güvenlik yaklaşımı sunuyor. Bu yöntem, tek bir özel anahtarın ele geçirilmesinden kaynaklanabilecek riskleri azaltmayı amaçlıyor. Buna rağmen Binance, saldırı sırasında kullanılan kötü amaçlı EIP-7702 yetkilendirmelerinin hızlı biçimde iptal edilemediğini belirtiyor. Şirket, sıcak cüzdanda MPC kullanılması nedeniyle bu yetkilendirmeleri derhâl geçersiz kılabilecek tek bir özel anahtar bulunmadığını ifade ediyor.
Bu teknik sınırlama, ilk yetkisiz transferlerden yaklaşık iki saat sonra gerçekleşen işlemlerin neden durdurulamadığına ilişkin açıklamanın merkezinde bulunuyor. EIP-7702, Ethereum ekosisteminde hesapların belirli akıllı sözleşme işlevlerinden yararlanabilmesini sağlayan bir mekanizma olarak kullanılıyor. Söz konusu yetkilendirmelerin kötüye kullanılması, saldırganların hesaplar üzerinde normal koşullarda sahip olmamaları gereken işlem yetkilerini elde etmesine yol açabiliyor. Binance’in açıklaması, çok taraflı anahtar yönetiminin bazı güvenlik avantajları sağlasa da ele geçirilmiş yetkilerin acil durumlarda geri alınması açısından farklı zorluklar oluşturabildiğini gösteriyor. Bununla birlikte raporda, yetkisiz işlemlerin yaklaşık iki saat boyunca sürmesini mümkün kılan operasyonel ve teknik koşulların tamamı açıklığa kavuşturulmuyor.
Binance CEO’su Richard Teng, saldırıdan kaynaklanan maddi kayıpların kullanıcılara yansıtılmayacağını bildirdi. Teng’in verdiği bilgilere göre, etkilenen tokenların yüzde 98’i yeniden yerine konuldu ve kalan yüzde 2’lik bölümün tamamlanması için çalışmalar sürüyor. Para çekme işlemlerinin de büyük ölçüde yeniden başladığı belirtiliyor. Şirket, yaklaşık 2,85 milyar dolar değerindeki çalıntı varlığın dondurulduğunu veya ele geçirildiğini açıklıyor. Bunun yanında Binance, Kuzey Kore bağlantılı olduğundan şüphelenilen 57 ayrı siber tehdit vakasını engellediğini öne sürüyor.
Saldırı raporu, kripto para şirketlerinde güvenliğin yalnızca cüzdan altyapısıyla sınırlı olmadığını da ortaya koyuyor. Yazılım geliştiricilerin kullandığı araçlar, işe alım süreçleri ve şirket içi sistemlere verilen erişim izinleri, saldırganların yararlanabileceği farklı giriş noktaları oluşturabiliyor. Sahte iş görüşmeleri üzerinden çalışanlara zararlı kod indirilmesi uzun süredir bilinen bir yöntem olmasına rağmen bu olayda aynı yaklaşımın başarılı olması, mevcut güvenlik kontrollerine ilişkin soruları gündeme getiriyor. Şirket içi yapay zekâ aracının saldırıda nasıl bir rol oynadığı ve hangi güvenlik sınırlarının aşıldığı ise henüz yeterince açıklanmış değil. Binance’in paylaştığı bilgiler, maddi kayıpların karşılanmasına yönelik süreci ortaya koyarken benzer saldırıların önlenebilmesi açısından bazı teknik soruların yanıtsız kaldığını gösteriyor.
Günün Öne Çıkan Fırsatları
