Binance siber saldırısında 2,85 milyar dolar donduruldu

Kripto para borsası Binance, geçen hafta maruz kaldığı siber saldırıya ilişkin ilk inceleme raporunu yayımladı. Şirkete göre saldırı tek bir güvenlik açığından ya da basit bir kimlik avı girişiminden kaynaklanmadı; birden fazla yöntemin kullanıldığı gelişmiş ve çok aşamalı bir kampanyaydı. Soruşturma sürüyor ve bulgular bağımsız güvenlik uzmanlarınca da incelenecek.

Şirketin açıklamasında, ABD Federal Soruşturma Bürosu (FBI) ile paylaşılan son bilgilere göre saldırının arkasında Kuzey Kore'nin bulunduğu aktarıldı. Rapora göre saldırganlar, şirketin dahili cüzdan imzalama hizmetine yetkisiz erişim sağlayarak normal para çekme prosedürlerinin dışında işlemler yaptı. Birden fazla blokzincir ağını hedef alan saldırıda beş sıcak cüzdandan saldırganların kontrolündeki adreslere 233,46 milyon XRP gönderildi. Solana ve Optimism ağlarındaki sıcak cüzdanlardan yaklaşık 970 bin 500 SOL ve 44,2 milyon OP transfer edildi; daha sonraki aşamada 18 bin 270 BTC aktarıldığı bildirildi.

Saldırganların Ethereum ağındaki EIP-7702 yetkilendirme mekanizmasını da istismar ederek sıcak cüzdanlar üzerinde kısmi işlem yetkisi elde ettiği belirtildi. Olağan dışı transferlerin ardından Binance para çekme işlemlerini durdurdu ve etkilenen tokenlerin dondurulması için iş ortaklarıyla koordineli çalıştı. Bu müdahalelerle toplam 2,85 milyar dolarlık varlık donduruldu veya ele geçirildi. Ancak kötü amaçlı yetkilendirmelerin normal para çekme altyapısından bağımsız çalışması, yetkisiz hareketlerin tamamının engellenmesini sağlayamadı.

Raporda, hazırlık aşamasında çalışanlardan birinin sosyal mühendislikle sahte iş görüşmesi üzerinden hedef alındığı ve kötü amaçlı yazılım içeren bir kod deposunu iş bilgisayarına indirmeye yönlendirildiği kaydedildi. Sosyal mühendislik, kötü amaçlı yazılım, kurum içi yapay zekâ araçlarının ele geçirilmesi ve uç nokta güvenliğinin aşılması gibi yöntemlerin bir arada kullanıldığı belirtildi.

Binance, 3 Kasım itibarıyla saldırıdan etkilenen cüzdan sistemini yeni bir ortamda yeniden oluşturduğunu, kurum içi yapay zekâ aracı ve erişim kontrollerini yenilediğini, etkilenen cihazları değiştirdiğini ve ilgili çalışanların kimlik bilgileri ile erişim anahtarlarını devre dışı bıraktığını açıkladı. Şirket ayrıca imza politikalarını, sıcak cüzdan güvenliğini ve saldırılara müdahale süreçlerini yeniden değerlendirdiğini, bağımsız uzmanlardan kapsamlı bir inceleme talep edeceğini duyurdu.