6,34 milyar dolarlık Binance saldırısı sahte iş görüşmesiyle başlamış!

Borsanın raporu, 29 Ekim'deki hırsızlığın tek bir güvenlik ihlaliyle gerçekleşmediğine işaret ediyor. Çalışanları kandırmaya yönelik girişimler, zararlı yazılımlar ve çalınan erişim bilgileri birbirini izledi. Binance, soruşturmanın sürdüğünü ve bulguların bağımsız uzmanlar tarafından ayrıca inceleneceğini belirtti.

SAHTE İŞ GÖRÜŞMESİYLE BİLGİSAYARA SIZILDI

İlk girişim haziranda cüzdan altyapısında çalışan bir mühendisi hedef aldı. Mühendis, bir yapay zeka kodlama aracını kurmak için arama yaparken değiştirilmiş bir Homebrew kurulum dosyası indirdi. Güvenlik ekibi olağan dışı durumu tespit ederek bilgisayarı değiştirdi ve ilgili erişim bilgilerini yeniledi. Ancak Binance'e göre saldırgan, çalışanın görevini ve aynı ekipteki meslektaşlarına ilişkin bilgileri öğrenmişti.

Eylülde başka bir yazılım mühendisine gerçek bir iş arama platformu üzerinden ulaşıldı. Kendilerini hayali bir şirketin yöneticileri olarak tanıtan kişiler, çalışanla iki aşamalı görüşme yaptı. İlk görüşmedeki insan kaynakları temsilcisi, güven kazanmak için kişisel fotoğraf ve videoların bulunduğu bir sosyal medya hesabı da paylaştı.

İkinci görüşmenin sonunda mühendisten iş bilgisayarına bir yazılım ödevi indirmesi istendi. Kurulum sırasında çalışan zararlı kod, bilgisayardaki meşru bir geliştirme aracının bileşenini değiştirdi. Şirket, zararlı yazılımın o sırada cihazdaki güvenlik araçlarınca tespit edilemediğini ve faaliyetlerini gizleyerek izlerini sildiğini bildirdi.

Saldırgan, 20 Ekim'de ele geçirdiği bilgisayardan ve şirket içindeki bir yapay zeka aracından yararlanarak cüzdan ekibindeki iki mühendisin cihazına daha erişti. Bunlardan birinde, sistemde yazılım çalıştırmak için kullanılan bir yetkilendirme bilgisi bulundu.

Dokuz gün sonra bu erişim bilgileri kullanılarak zararlı bir komut dosyası çalıştırıldı. Saldırgan böylece cüzdan işlemlerini imzalayan iç hizmete ulaştı ve normal para çekme sürecinin dışında transferler başlattı. Rapora göre çalışan cihazlarından başlayan sızma, farklı sistemlerdeki yetkilerin birlikte kullanılmasıyla varlıkların taşındığı aşamaya ilerledi.

ÇEKİMLERİN DURMASI TRANSFERLERİ HEMEN KESMEDİ

Binance'in para çekme işlemlerini durdurması, Ethereum üzerindeki yetkisiz transferlerin tamamını engellemeye yetmedi. Saldırgan, EIP-7702 adlı özellik üzerinden kendi kontrolündeki bir akıllı sözleşmeye borsanın sıcak cüzdanlarından biri adına işlem yapma yetkisi vermişti.

Bu yetki doğrudan ağ üzerinde geçerli olduğu için normal çekim hizmetlerinin kapatılmasıyla ortadan kalkmadı. Borsa, yetkiyi iptal etmek için ek işlemler yapmak zorunda kaldı. Cüzdanın imzalama yetkisini birden fazla tarafa dağıtan yapısı nedeniyle, iptal için hemen kullanılabilecek tek bir özel anahtar bulunmuyordu. Ekibin özel bir iptal prosedürü hazırlaması müdahaleyi uzattı.

Raporda son yetkisiz transferin, daha önce ağa gönderilmiş ve beklemede kalmış yaklaşık 2 bin 962 ETH'lik işlem olduğu belirtildi. Binance, ilgili cüzdandaki kötü amaçlı yetkilendirmenin daha sonra temizlendiğini açıkladı.

Borsa, saldırıda kullanılan giriş noktalarını kapattığını, etkilenen cüzdan sistemini yeni bir ortamda kurduğunu ve şirket içindeki yapay zeka aracını erişim kontrolleriyle birlikte yenilediğini bildirdi. Ele geçirilen cihazlar değiştirildi, ilgili çalışanların erişim bilgileri iptal edildi ve çalışan cihazlarında ek güvenlik taramaları yapıldı.

Binance, bağımsız siber güvenlik uzmanlarından olayın kapsamlı biçimde incelenmesini ve ilk bulguların doğrulanmasını isteyecek. Şirket ayrıca geliştirici ortamlarının korunması ve olağan dışı davranışların tespiti için yatırımları artıracağını, yapay zeka güvenliğine odaklanan bir araştırma fonu üzerinde çalıştığını açıkladı.