Binance olay incelemesi: sahte iş görüşmeleri ve şirketin kendi AI aracı 6,3 milyar dolarlık kripto hırsızlığını mümkün kıldı

Binance, saldırganların rekorlardaki en büyük kripto para hırsızlığını nasıl gerçekleştirdiğini ayrıntılarıyla anlattı: malvertising, kapsamlı bir sahte işe alım süreci ve şirketin kendi dahili AI aracını birleştiren 6,3 milyar dolarlık bir soygun. The Verge'un haberine göre borsanın olay incelemesi, fonların ekim sonunda nihayet hareket etmesinden önceki birkaç aya ve birden fazla çalışana yayılan operasyonu ortaya koyuyor.

Önce malvertising kampanyası geldi

Binance'ın anlatısına göre ilk ayak izi haziranda oluştu; bir geliştirici, kötü niyetli bir Google reklamı üzerinden dağıtılan kurcalanmış bir installer indirdi. Makineyi enfekte etmenin ötesinde, bu olay görünüşe göre saldırganlara Binance mühendislerini ve çalışma biçimlerini görebilme imkanı verdi. Binance, güvenlik ekiplerinin o ilk kötü yazılım kurulumunu tespit ettiğini ve çalışanın cihazını değiştirdiğini söylüyor.

Sahte iş görüşmesi

Eylüldeki ikinci aşama, Kuzey Kore operasyonlarıyla uzun süredir ilişkilendirilen bir sosyal mühendislik planıyla farklı bir mühendisi hedefledi. İlgi gösteren bir işe alım uzmanı gibi davranan biri, bir dizi görüşme ve çok sayıda mülakat turu ayarladı ve güven inşa etmek için sosyal medya sayfaları paylaştı. Süreç, görüşme ödevi olarak sunulan bir dosyayı indirmeye yönlendiren bir taleple sonuçlandı; dosya aslında kötü yazılımdı.

Bu kez Binance'ın savunmaları atlatıldı. The Verge'un aktardığına göre olay incelemesi, kötü yazılımın Python kurulumlarını yönetmek için yaygın olarak kullanılan pyenv çalıştırılabilir dosyasını sildiğini ve yerine arka kapı erişimi sağlayan, komutlar çalıştıran ve saldırgan kontrollü bir harici sunucuyla iletişim kuran kötü niyetli bir sürüm koyduğunu belirtiyor. Binance, bu payload'ı endpoint koruma araçlarının o dönemde işaretleyemediği, daha önce hiç görülmemiş bir kötü yazılım olarak tanımlıyor ve saldırganın ihlalin izlerini silmek için bilinçli adımlar attığını, bunun hem tespiti hem de incelemeyi zorlaştırdığını söylüyor.

Dahili AI aracı

Binance'ın ifadesine göre, FBI'ın TraderTraitor adını verdiği bir Kuzey Kore birimi olarak tanımladığı saldırganlar, 20 Ekim itibarıyla hem haziranda ilk olarak ele geçirilen mühendisin hem de üçüncü bir çalışanın cüzdanlarının kontrolünü ele geçirmek için Binance'ın kendi dahili AI aracını kullanmıştı. Dokuz gün sonra, 29 Ekim'de, üçüncü çalışanın bilgisayarında oturum açıp hırsızlığı başlattılar.

Özellikle The Verge, olay incelemesinin bu dahili AI aracının gerçekte ne olduğunu ya da saldırganlara neden yardımcı olabildiği konusunda pek fazla ayrıntı sunmadığına dikkat çekiyor ve şirketin açıklamasının üzerinde önemli bir soru işareti bırakıyor.

Transferlerin neden durdurulamadığı

Binance ayrıca, ilk yetkisiz transferlerden yaklaşık iki saat sonra başlayan işlemleri neden engelleyemediğini de açıkladı. Hot cüzdan Multi-Party Computation'a dayandığı için, saldırganların Ethereum'da elde ettiği kötü niyetli EIP-7702 yetkilerini derhal geri çekebileceği tek bir private key şirketin elinde yoktu. Bir başka deyişle, kısmen güvenlik amacıyla benimsenen bir cüzdan mimarisi, hırsızlık sürerken saldırganın izinlerinin acilen iptal edilmesini zorlaştırdı.

Geri kazanım durumu

CEO Richard Teng, hiçbir kullanıcının zararı üstlenmediğini, çalınan varlıkların yaklaşık 2,85 milyar dolarlık kısmının dondurulduğunu ya da durdurulduğunu yazdı. Etkilenen token'ların yüzde 98'inin yeniden tamamlandığını, kalan yüzde 2'nin tamamlanmakta olduğunu ve para çekme işlemlerinin büyük ölçüde yeniden başladığını söyledi. Binance ayrıca Kuzey Kore bağlantılı olduğundan şüphelenilen 57 siber tehdit vakasını önlediğini iddia ediyor.

Neden önemli

Ölçek eşiği görülmemiş olsa da teknikler öyle değildi. Arama reklamlarıyla dağıtılan zehirlenmiş installer'lar ve hedeflerden kod indirmelerini ve çalıştırmalarını isteyen sahte işe alım süreçleri hakkında yıllardır uyarılar yapılıyor. Kendine özgü güvenlik ekiplerine sahip bir borsanın ilk enfeksiyonu yakalayıp ikinciyi kaçırmış olması ve kendi dahili AI aracının görünüşe göre cüzdan kontrollerine ulaşmak için bir pivot noktası haline gelmesi, belgelenmiş tehditlerle operasyonel savunmalar arasındaki kalıcı boşluğu gözler önüne seriyor. MPC ayrıntısı ikinci bir ders: tek hata noktalarını ortadan kaldırmak için tasarlanan anahtar mimarileri, yetkilerin hızla iptal edilmesi gerektiğinde olay müdahalesini de yavaşlatabiliyor. Genel olarak mühendislik organizasyonları için pratik çıkarımlar tanıdık ama artık pahalıya mal olduğu kanıtlanmış durumda: işe alım uzmanlarının verdiği koda güvenme, yazılım installer'larını arama sonuçlarında nasıl göründüklerine bakılmaksızın doğrula ve hangi dahili araçların production sistemlerine ve cüzdan altyapısına dokunabildiğini tam olarak denetle. AI aracıyla ilgili cevapsız sorular da dikkat hak ediyor; çünkü şirketler AI asistanlarını dahili iş akışlarına entegre ettikçe, bu araçlar organizasyona karşı kullanılabilecek erişimleri devralıyor.