Milyarlarca Dolarlık Benzersiz Dijital Varlık Hırsızlığının Anatomisi
Kripto para devi Binance, 29 Ekim tarihinde 6,34 milyar dolar değerindeki dijital varlığın çalınmasına yol açan tarihi güvenlik ihlalinin teknik ayrıntılarını kamuoyuyla paylaştı. Federal Soruşturma Bürosu’nun (FBI) resmi bulgularını doğrulayan borsa, titizlikle planlanan bu sızma girişiminden Kuzey Kore destekli tehdit aktörlerini sorumlu tuttu. Anlık bir fırsattan yararlanılarak düzenlenen tek günlük bir saldırı olmayan bu operasyon; beş ay süren sabırlı bir keşif sürecinin, zararlı yazılım içeren paketlerin ve doğrudan platform mühendislerini hedef alan psikolojik yönlendirmelerin sonucunda gerçekleşti.
Birinci Aşama: Haziran Ayında Arama Motoru Zehirlenmesi ve İlk Keşif
Sızma zinciri, Binance’in ana cüzdan altyapısını yöneten bir Wallet DevOps mühendisinin haziran ayında popüler bir yapay zekâ kodlama yardımcısını internette aramasıyla başladı. Arama motoru optimizasyonu (SEO) zehirleme taktiklerini kullanan saldırganlar, mühendisi truva atı gizlenmiş bir Homebrew kurulum paketine yönlendirdi. Binance’in dahili güvenlik izleme sistemleri, bu olağan dışı yazılım kurulumunu tespit ederek anlık tehdidi etkisiz hâle getirdi; ancak oluşan kısa süreli açıklık, saldırganların kurum içi dizin verilerini toplamasına ve ikincil hedefler için mühendisin iş arkadaşlarını haritalandırmasına olanak tanıdı.
İkinci Aşama: Eylül Ayında Silaha Dönüştürülen İşe Alım Süreci ve Sosyal Mühendislik
Kurum içi organizasyon istihbaratını ele geçiren tehdit grubu, Eylül ayında hedef odaklı sosyal mühendislik yöntemlerine yöneldi. Kendisini “Proje Direktörü” olarak tanıtan bir ajan, saygın bir profesyonel iş ağı platformu üzerinden bir Binance yazılım mühendisiyle iletişime geçti. Saldırganlar, güven kazanmak amacıyla çalışanı iki aşamalı bir işe alım sürecine dâhil etti. İlk eleme, şüpheleri ortadan kaldırmak için özenle hazırlanmış kişisel bir sosyal medya profilini paylaşan sahte bir İnsan Kaynakları (İK) temsilcisiyle canlı görüntülü görüşme üzerinden yapıldı. İkinci mülakat ise hayalî girişimin İcra Kurulu Başkanı (CEO) olduğunu iddia eden bir kişiyle şifreli mesajlaşma uygulaması aracılığıyla gerçekleştirildi. Sohbetin sonunda sahte yönetici, mühendise teknik bir kodlama ödevi gönderdi; proje kurulum dosyalarının çalıştırılmasıyla birlikte mühendisin bilgisayarına kalıcı bir arka kapı yazılımı sessizce yerleşti.
Gizli Kalıcılık: Bileşen Ele Geçirme ve Savunma Atlatma Yöntemleri
Geliştiricinin bilgisayarına yerleşen zararlı yazılım, uç nokta tespit ve yanıt (EDR) sensörlerini aşmak için gelişmiş gizlenme yöntemlerinden yararlandı. Davranışsal uyarıları tetikleyebilecek bağımsız çalıştırılabilir dosyalar kullanmak yerine, meşru bir yazılım geliştirme bileşenini rastgele sistem komutları yürütebilen silahlandırılmış bir ikili dosyayla değiştirdi. Sistemde kalıcılık sağlayan bu arka kapı, rutin güvenlik denetimlerinde görünmez kalmak amacıyla her komut döngüsünün ardından sistem kayıtlarını düzenli biçimde temizledi ve adli bilişim izlerini sildi.
Yatay Hareket: 20 Ekim'de Dahili Yapay Zeka Altyapısının İstismar Edilmesi
Haftalarca uykuda kalan casuslar, 20 Ekim tarihinde yazılım mühendisinin ele geçirilen bilgisayarını bir sıçrama noktası olarak kullanarak erişim yetkilerini genişletti. Kurumsal ağda yatay olarak ilerlemek amacıyla Binance’in dahili bir yapay zekâ aracını suistimal eden saldırganlar, ilk hedef alınan Wallet DevOps mühendisi ile üçüncü bir mühendis iş arkadaşının bilgisayarlarını kontrol altına aldı. Üç farklı geliştirici ortamındaki erişimleri birbirine bağlayan sızma ekibi, doğrudan cüzdan sistemlerine ulaşmak için gereken yetkileri topladı.
29 Ekim Saldırısının İcrası ve Çekim İşlemleri Durdurulduktan Sonra Süren Varlık Çıkışı
Beş aylık operasyon, 29 Ekim tarihinde zirve noktasına ulaştı. Üçüncü mühendisin ele geçirilen terminaline giriş yapan saldırganlar, birinci Wallet DevOps mühendisinden çaldıkları kimlik bilgilerini kullanarak doğrulama yaptı ve yetkisiz varlık transferlerini başlatan özel bir otomatik betik çalıştırdı. Binance güvenlik ekipleri, etkilenen 6,34 milyar dolarlık varlığın 2,85 milyar dolarlık kısmını dondurmayı başardı; ancak alt katmandaki blokzincir işlemleri imzalama kuyruğunda kriptografik onayı çoktan aldığı için, platform genelinde çekim işlemleri durdurulduktan sonra bile varlık çıkışları kısa bir süre devam etti.
Altyapının Yeniden İnşası ve Hazine Tazmini
Binance, 3 Kasım itibarıyla güvenlik mimarisinde kapsamlı bir yenileme sürecini tamamladı. Mühendislik ekipleri, ele geçirilen cüzdan altyapısını ve dahili yapay zekâ araçlarını sıfırdan inşa etti; etkilenen tüm donanım uç noktalarını değiştirdi, açığa çıkan kriptografik anahtarlar ile oturum belirteçlerini iptal etti ve tüm personel cihazlarında yapay zekâ destekli davranışsal anomali tespit sistemlerini devreye aldı. Mâli açıdan ise borsa, oluşan açığın tamamını kendi kurumsal rezervlerinden karşılama taahhüdünde bulundu. Etkilenen varlık bakiyelerinin yüzde 98’inin şimdiden yerine konulduğunu doğrulayan Binance, hazine birimlerinin kalan yüzde 2’lik düşük likiditeli dijital varlıkları açık piyasadan satın alma sürecini yürüttüğünü bildirdi.
