Binance, rekor seviyedeki 6,3 milyar dolarlık kripto hırsızlığını Kuzey Kore kaynaklı sahte iş görüşmesine bağladı

Saldırı nasıl gelişti

29 Ekim'de kripto para borsası Binance'ten gerçekleşen rekor seviyedeki 6,3 milyar dolarlık hırsızlık, borsanın salı günü yayımladığı ve The Register'ın ayrıntılarıyla aktardığı olay raporuna göre aylar süren, çok aşamalı bir kampanyanın son noktasıydı. Binance, operasyonun sahte iş görüşmeleriyle sosyal mühendislik, kötü amaçlı yazılım indirmeleri, ele geçirilmiş iç yapay zeka araçları, uç nokta (endpoint) devralma ve şirketin "işlemleri yetkilendirmek için gelişmiş bir yöntem" olarak nitelendirdiği bir teknikten oluştuğunu söyledi. Raporun ifadesiyle yaşananlar "tekil ve izole bir ihlal ya da basit bir phishing olayı değildi."

FBI, hırsızlığı hafta sonu boyunca TraderTraitor'a, yani Lazarus Group ile bağlantılı bir Kuzey Kore operasyonuna atfetti. The Register'ın da belirttiği gibi bu ekip iş piyasası dolandırıcılıklarında deneyimli: Bazen Batılı şirketlerde işe girmek için BT çalışanı gibi görünüyorlar, bazen de işveren rolünü üstlenerek mühendisleri kurumsal cihazlara kötü amaçlı yazılım yüklemeleri için kandırıyorlar.

Zehirlenmiş bir Homebrew kurulumuyla keşif aşaması

Zemin Haziran ayında hazırlandı: Bir Binance mühendisi, borsanın bir tedarik zinciri (supply chain) saldırısı olarak nitelendirdiği olayda kötü amaçlı bir Homebrew kurulum dosyası indirdi. Güvenlik ekibi kötü amaçlı yazılımı tespit etti, cihazı değiştirdi ve etkilenen kimlik bilgilerini yeniledi; ancak bu aşamaya kadar saldırgan, Mühendis A olarak anılan bir cüzdan DevOps mühendisinin ve cüzdan altyapı ekibindeki meslektaşlarının kimliğini öğrenmişti.

Sahte görüşme

Eylül ayında ikinci bir yazılım mühendisine, Binance'in meşru olarak nitelendirdiği bir iş arama platformu aracılığıyla bir proje direktörü süsü veren biri ulaştı ve hayali bir şirketle bir dizi görüşme ayarladı. İlk turda, sahte bir İK temsilcisiyle yapılan canlı video görüşmesinde, görüşmeci samimiyet kurmak için kişisel fotoğraf ve videolarla dolu bir sosyal medya hesabı paylaştı — Binance bunu, daha önce karşılaştığı sosyal mühendislik taktiklerinden daha aldatıcı bulduğu bir detay olarak değerlendirdi.

Sahte şirketin CEO'su olduğunu iddia eden biriyle yapılan ikinci görüşme popüler bir sohbet uygulaması üzerinden gerçekleşti. Görüşmenin sonlarına doğru mühendise bir ödev indirmesi söylendi: Kurulum sırasında iş dizüstü bilgisayarında çalışan, kötü amaçlı yazılım barındıran bir kod deposu.

Araç zincirinin içindeki kötü amaçlı yazılım

Olay raporuna göre yüklenen zararlı bileşen, Homebrew altına kurulu meşru bir geliştirme aracı bileşenini — pyenv sürüm yöneticisini — komutlar çalıştıran ve saldırgan kontrolündeki bir sunucuya kanal açan kötü amaçlı bir sürümle değiştirdi. İzinsiz giren kişiler ayrıca betiği Binance'in uç nokta güvenlik araçlarının başta gözünden kaçacak kadar iyi gizledi.

20 Ekim'de saldırganlar, ele geçirilmiş makineyi bir iç yapay zeka aracıyla birlikte kullanarak Mühendis A'nın ve diğer bir cüzdan geliştiricisi olan Mühendis C'nin bilgisayarlarına ulaştı. Mühendis A'nın bilgisayarında, saldırganların keşfettiği bir container dağıtım izin token'ı bulunuyordu. 29 Ekim'de Mühendis C'nin makinesine giren saldırganlar, Mühendis A'nın çalınmış kimlik bilgileriyle bir container dağıttı ve hırsızlığı başlatan betiği tetikledi.

İyileştirme çalışmaları

Binance, ele geçirilen cüzdan sistemini ve iç yapay zeka aracını yeniden inşa ettiğini, etkilenen cihazları değiştirdiğini ve ele geçirilen mühendislere atanmış tüm kimlik bilgileri ile token'ları geçersiz kıldığını açıkladı. Şirket, varlıkları izlemek ve dondurmak için kolluk kuvvetleriyle, blok zinciri istihbarat firmalarıyla ve güvenlik araştırmacılarıyla çalışıyor; olayı inceleyip koruma önlemleri önermesi için bağımsız siber güvenlik uzmanları işe aldı ve blok zinciri ortamlarında yapay zeka güvenliğine odaklanan bir güvenlik araştırma fonu kuruyor.

Neden önemli

Bu, kayıtlara geçen en büyük kripto para hırsızlığı olarak nitelendiriliyor ve saldırı zinciri, geleneksel savunmaların bunu neden durduramadığını açıklıyor. İlk ele geçirmeler bir geliştiricinin çalışma hayatının sıradan unsurları üzerinden geldi — bir paket yöneticisi, evde çözülen bir kodlama ödevi — ve son yükseliş aşaması egzotik bir açıktan çok geçerli kimlik bilgilerine dayandı. İç yapay zeka aracının cüzdan altyapı ekibine köprü görevi görmesi ise ikinci bir uyarı: Tek bir uç nokta düştüğünde, bu araç etki alanını genişletti. Mühendislik organizasyonları için pratik çıkarımlar şunlar: Görüşme ödevlerine ve üçüncü taraf kurulumlara güvenilmeyen girdi olarak yaklaşmak, kurulu araç zincirlerindeki oynamalara dikkat etmek ve uç nokta tespitinin tek başına sabırlı ve iyi kaynaklara sahip bir rakibi yakalayacağını varsaymamak.