Binance saldırısı sahte iş görüşmesiyle başladı

Binance’in olay raporuna göre, 29 Ekim’de yaklaşık 6,34 milyar dolarlık kripto varlığın çalınmasıyla sonuçlanan saldırı tek bir güvenlik açığından kaynaklanmadı. Saldırganlar aylar boyunca çalışanları hedef aldı; sahte iş görüşmeleri ve zararlı yazılım kullanarak şirket sistemlerine girdi. Ardından şirket içindeki yapay zekâ aracından ve mühendislerin erişim yetkilerinden yararlanarak cüzdan işlemlerine ulaştı.

ABD Federal Soruşturma Bürosu (FBI), saldırıyı Kuzey Koreli hackerlarla ilişkilendirdi. Blokzincir analiz şirketleri TRM Labs ve Chainalysis de bu değerlendirmeyi destekledi. Kuzey Kore ise suçlamaları reddederek FBI’ın açıklamasını siyasi provokasyon olarak nitelendirdi.

İlk girişimden sonra saldırganlar yöntem değiştirdi

Binance’in raporunda yer alan ilk girişim haziran ayında yaşandı. Cüzdan altyapısı üzerinde çalışan bir mühendis, yapay zekâ destekli kodlama aracını kurmaya çalışırken değiştirilmiş bir Homebrew yükleyicisi indirdi. Güvenlik ekibi durumu fark etti ve mühendisin cihazını değiştirdi. Ancak saldırganlar bu girişim sırasında ekip üyeleri hakkında bilgi toplamıştı.

Eylülde başka bir mühendis, bir iş bulma platformu üzerinden kendisiyle iletişime geçen sahte bir işe alımcıyla görüştü. İki görüşmenin ardından mühendisten bir kodlama ödevi indirmesi istendi. Ödevin içine yerleştirilen zararlı yazılım, iş bilgisayarına bulaştı ve Binance’in güvenlik yazılımını aşmayı başardı.

Bu aşamalar, saldırının yalnızca teknik bir açık arayışından ibaret olmadığını gösteriyor. İş başvurusu ve kodlama ödevi gibi sıradan görünen adımlar, çalışanı zararlı içeriği kendi eliyle indirmeye yöneltti. İlk girişim fark edilip cihaz değiştirilse de saldırganların ekip hakkında edindiği bilgiler, sonraki denemelerin daha hedefli ilerlemesine yardımcı oldu.

İç araçlar ve mühendislerin yetkileri devreye girdi

Binance’e göre saldırganlar, 20 Ekim’de ele geçirdikleri bilgisayarı ve şirket içinde kullanılan bir yapay zekâ aracını kullanarak iki mühendisin cihazlarına erişti. Bu cihazlardan birinde yazılım dağıtma yetkisi bulunuyordu. Saldırganlar, erişim zincirinin sonunda cüzdan imzalama işlemlerine ulaşabildi.

29 Ekim’de elde edilen yetkilerle izinsiz transferler gerçekleştirildi. Çalınan varlıklar arasında 18.270 Bitcoin, yaklaşık 233 milyon XRP ve 970 bin Solana yer aldı. Rapor, yapay zekâ aracını tek başına saldırının nedeni olarak göstermiyor. Şirketin aktardığına göre saldırganlar, çalışan cihazlarına eriştikten sonra mevcut şirket araçlarından ve kullanıcı yetkilerinden yararlandı.

Bu ayrım, kurumsal yapay zekâ araçlarının güvenlikteki yerini anlamak açısından önemli. Bu araçlar günlük iş akışlarına eklendikçe, yalnızca aracın kendisi değil, araca erişen hesaplar ve cihazlar da korunması gereken sistemlerin parçası hâline geliyor. Benzer biçimde yazılım dağıtma veya cüzdan işlemlerini onaylama gibi yetkilerin kimlerde bulunduğu ve nasıl denetlendiği de saldırının etkisini belirleyebiliyor.

Şirket, kullanıcı zararını karşılayacağını açıkladı

Binance, saldırının maliyetini kendisinin karşılayacağını ve kullanıcıların kayıplarını üstlenmeyeceğini duyurdu. Şirketin verdiği bilgiye göre çalınan varlıkların yaklaşık 2,85 milyar dolarlık bölümü donduruldu ya da ele geçirildi; etkilenen varlıkların yüzde 98’i yeniden yerine kondu. Saldırı sonrasında durdurulan para çekme işlemleri 3 Kasım itibarıyla aşamalı olarak yeniden açılmaya başladı.

Binance ayrıca etkilenen sistemleri yeniden kurduğunu ve yapay zekâ destekli güvenlik izleme çalışmalarını genişlettiğini bildirdi. Olay, büyük kripto platformlarında güvenliğin yalnızca cüzdan altyapısını korumakla sınırlı olmadığını ortaya koyuyor. Çalışanların cihazları, işe alım süreçleri, yazılım dağıtma izinleri ve şirket içi araçlara erişim de saldırı yüzeyinin bir parçası.

Sahte iş görüşmesi gibi sosyal mühendislik yöntemleri, teknik savunmaları devre dışı bırakmak yerine çalışanları bu savunmaları aşacak adımları atmaya yöneltebiliyor. Binance’in açıkladığı saldırı zincirinde de çalışan cihazlarına erişim, şirket içi araçlar ve geniş yetkiler birbirini izledi. Bu nedenle olay, kripto varlıkları koruyan şirketlerde çalışan güvenliği ile erişim denetiminin teknik altyapı kadar belirleyici olabileceğini gösteriyor.