Binance: Sahte iş görüşmesi, AI araçları ihlaliyle 6,3 milyar $ saldırı

Güvenliği ihlal edilmiş yazılım ve sosyal mühendislik

Salı günü yayınlanan bir raporda Binance, Haziran ayında başlayan ve 29 Ekim'deki hırsızlıkla sonuçlanan, aylar süren bir kampanyanın ayrıntılarını ortaya koydu. Borsa, saldırganların dahili bir cüzdan imzalama hizmetine erişimi istismar ederek normal para çekme prosedürlerini atlattıklarını ve milyarlarca doları birden fazla blok zinciri üzerinden aktardıklarını belirtti.

Soruşturma, saldırının çeşitli aşamalarını ortaya çıkardı; bunlara, Haziran ayında bir cüzdan mühendisinin yapay zeka kodlama aracını yüklemeye çalışırken Homebrew yazılım yükleyicisinin güvenliği ihlal edilmiş bir sürümünü indirmesi de dahildi. Binance, güvenlik ekibinin tehdidi tespit ettiğini, çalışanın cihazını değiştirdiğini ve ilgili erişim bilgilerini güncellediğini belirtti; ancak bu olay, cüzdan altyapısı personeliyle ilgili bilgilerin açığa çıkmasına neden oldu.

Eylül ayında daha ciddi bir güvenlik ihlali yaşandı; bu olayda, başka bir Binance mühendisi, meşru bir iş bulma platformu üzerinden kendini işe alım uzmanı olarak tanıtan bir kişi tarafından yaklaşıldı. Çalışan, sözde bir insan kaynakları temsilcisiyle yapılan bir video görüşmesi ve hayali bir şirketi yönettiğini iddia eden biriyle yapılan bir görüşme dahil olmak üzere iki görüşmeye katıldı.

İkinci görüşme sırasında çalışana, kötü amaçlı yazılım içeren bir kodlama ödevini iş bilgisayarına indirmesi talimatı verildi.

Kötü amaçlı yazılım, meşru bir geliştirici aracı bileşeninin yerini alarak saldırganların komutları yürütmesine ve harici bir sunucuyla iletişim kurmasına olanak sağladı. Binance, daha önce bilinmeyen bu kötü amaçlı yazılımın, saldırıya uğradığına dair kanıtları gizlemeye çalışırken güvenlik yazılımını atlattığını belirtti.

20 Ekim’de saldırganlar, ele geçirilen cihazı ve şirket içi bir yapay zeka aracını kullanarak iki mühendise daha erişim sağladı. Ardından, Binance’in cüzdan altyapısı içinde yazılım dağıtmalarına olanak tanıyan kimlik bilgilerini ele geçirdiler.

29 Ekim'de saldırganlar, bu kimlik bilgilerini kullanarak cüzdan imzalama işlemlerine erişti ve 18.270 BTC, 233,46 milyon XRP, yaklaşık 970.500 SOL ve 44,2 milyon OP'nin yanı sıra diğer varlıkları içeren yetkisiz transferler başlattı.

Hackerlar ayrıca, akıllı sözleşmelerin bir hesap adına işlem yapmasına olanak tanıyan Ethereum’un EIP-7702 yetkilendirme mekanizmasını da istismar etti. Kötü niyetli yetkilendirmeler oluşturarak, borsa normal para çekme işlemlerini askıya aldıktan sonra bile Binance sıcak cüzdanından varlık aktarma yeteneği elde ettiler.

Binance, saldırganların hesabın işlem sırasını manipüle etmek ve bu izinleri oluşturmak için 50 adet imza işlemi gönderdiğini belirtti. Borsanın çok taraflı hesaplama teknolojisini kullanması, yetkilendirmeleri iptal etme çabalarını zorlaştırdı ve kontrolü yeniden ele geçirmek için özel bir prosedür gerektirdi.

Yaklaşık 2.962 ETH tutarındaki son yetkisiz transfer, 29 Ekim'de UTC saatine göre gece yarısından kısa bir süre önce tamamlandı. Binance, kısa bir süre sonra bu kötü niyetli yetki devrini iptal etti.

Binance, Rekor Düzeyindeki Saldırıdan Kurtuldu

Bu bulgular, daha önce Bitcoin.com News'in haberinde yer alan Binance eş CEO'su Richard Teng'in açıklamalarını detaylandırıyor. Teng, saldırının tek bir çalışanın güvenliğinin ihlal edilmesinden ziyade, birden fazla güvenlik açığı ve kanıt imha tekniklerini içerdiğini belirtmişti.

Borsa ayrıca, FBI'ın saldırıyı Kuzey Kore'ye atfettiğini de aktardı. Bitcoin.com News'in daha önce bildirdiği gibi, blok zinciri istihbarat şirketleri TRM Labs ve Chainalysis, hırsızlığı ayrı ayrı Kuzey Kore'nin hackleme operasyonlarıyla ilişkilendirdi. Kuzey Kore liderliği o zamandan beri bu suçlamaları reddederek, FBI'ın açıklamasını “siyasi provokasyon” olarak nitelendirdi.

Binance, son güncellemesine göre çalınan yaklaşık 2,85 milyar dolarlık varlığın dondurulduğunu veya ele geçirildiğini belirtti. Şirket, finansal zararı kendi üstleneceğini taahhüt etti ve 31 Ekim itibarıyla etkilenen token varlıklarının %98’inin telafi edildiğini, likiditesi daha düşük kripto para birimleri için alımların ise devam ettiğini bildirdi.

Borsa, o zamandan beri etkilenen cüzdan sistemlerini yeniden kurduğunu, güvenliği ihlal edilen çalışan cihazlarını değiştirdiğini, ele geçirilmiş kimlik bilgilerini iptal ettiğini ve yapay zeka destekli güvenlik izleme sistemini genişlettiğini belirtti. Ayrıca bağımsız bir siber güvenlik incelemesi yaptırıyor ve yapay zeka ile ilgili tehditlere odaklanan bir güvenlik araştırma fonu kurmayı değerlendiriyor.

Bu toparlanma, soruşturmacıların çalınan fonların izini sürmeye devam ettiği bir dönemde gerçekleşti. Bitcoin.com News Pazartesi günü, blok zinciri analiz şirketi Elliptic’in çalınan varlıkları dört günden kısa bir sürede 11 blok zincirindeki yaklaşık 12.000 cüzdan üzerinden izlediğini bildirdi.

Binance, soruşturmasının halen devam ettiğini ve şirketin ek bilgi paylaşmadan önce bazı teknik bulguların bağımsız bir doğrulamadan geçeceğini vurguladı.