Binance’te 6,3 Milyar Dolarlık Kripto Hırsızlığının Arkasından Yapay Zekâ Araçları Çıktı
Binance, yaklaşık 6,3 milyar dolarlık kripto varlığın çalındığı siber saldırının çalışanların kullandığı yapay zekâ destekli kodlama araçları üzerinden ilerlediğini açıkladı. Şirketin salı günü yayımladığı soruşturma raporu, saldırganların sahte iş görüşmeleri, kimlik avı yöntemleri ve ele geçirilmiş bir yazılım geliştirme aracıyla aylar süren bir operasyon yürüttüğünü ortaya koydu. Saldırganlar, cüzdan geliştirme ekibindeki çalışanların bilgisayarlarına erişim sağlayarak beş farklı cüzdandan XRP başta olmak üzere çeşitli kripto varlıkları kendi hesaplarına aktardı.
Saldırının İlk Aşaması Sahte Homebrew Kurulumu İle Başladı
Binance’in raporuna göre saldırı, haziran ayında cüzdan geliştirme ekibinde çalışan bir mühendisin yapay zekâ destekli kodlama aracı kullanmaya karar vermesiyle başladı. Çalışan, popüler bir yazılım geliştirme aracı olan Homebrew’ü indirmek isterken arama sonuçlarında karşısına çıkan kötü amaçlı bir reklama tıkladı. Reklam üzerinden indirilen kurulum dosyası, değiştirilmiş bir Homebrew sürümünü içeriyordu.
Şirket, cihazdaki olağan dışı etkinliği tespit ettikten sonra ilgili bilgisayarı değiştirdiğini, erişim bilgilerini de yenilediğini bildirdi. Ancak ilk ihlal, saldırganların cüzdan geliştirme ekibinin yapısı ile çalışanların görevleri hakkında bilgi edinmesine yol açtı. Böylece saldırganlar, doğrudan sistemlere girmek yerine çalışanları hedef alan sosyal mühendislik yöntemlerine yöneldi.
Saldırının sonraki aşamasında kendisini proje yöneticisi olarak tanıtan bir kişi, gerçek bir iş arama platformu üzerinden başka bir yazılım mühendisiyle iletişim kurdu. Saldırgan, çalışanı önce sahte bir insan kaynakları temsilcisiyle, ardından şirketin sözde CEO’suyla görüşeceği bir işe alım sürecine davet etti.
Dolandırıcılar, çalışanların güvenini kazanmak için kişisel fotoğraflar ile videolar içeren bir sosyal medya hesabını da kullandı. Binance, raporunda bu yöntemin daha önce karşılaşılan sosyal mühendislik girişimlerinden daha gelişmiş ve aldatıcı olduğunu belirtti. Şirket, paylaşılan görsellerin yapay zekâyla üretilip üretilmediğine ilişkin kesin bir bilgi vermedi.
Sahte işe alım sürecinin devamında mühendis, yazılı olarak gerçekleştirilen ikinci bir görüşmeye katıldı. Görüşme sırasında çalışandan bir teknik görevi tamamlaması ve ilgili dosyayı bilgisayarına indirmesi istendi. Ancak dosyanın içerisinde bulunan kötü amaçlı kod, çalışan kurulum işlemini başlatır başlatmaz çalışmaya başladı.
Eylül ayında gerçekleşen bu aşamada saldırganlar, çalışanın bilgisayarındaki gerçek bir yazılım geliştirme aracını kötü amaçlı bir sürümle değiştirdi. Değiştirilen araç, saldırganlarla iletişim kurabiliyor ve uzaktan komut çalıştırabiliyordu. Böylece saldırganlar, ele geçirdikleri bilgisayar üzerinden daha geniş bir erişim alanı elde etti.
Ekim ayında operasyonun kapsamı genişledi. Saldırganlar, Binance bünyesinde kullanılan bir yapay zekâ aracından yararlanarak ilk çalışanın bilgisayarını kontrol etmek için bu sistemi bir sıçrama noktası olarak kullandı. Aynı yöntemle üçüncü bir cüzdan geliştiricisinin bilgisayarına da erişim sağlandı. İlk çalışanın ele geçirilen kimlik bilgileri, diğer mühendisin cihazına giriş yapmak için kullanıldı.
Saldırganlar, ikinci bilgisayarda kötü amaçlı bir betik çalıştırarak kripto varlıkların aktarılmasını sağlayan son aşamayı başlattı. Böylece aylar boyunca hazırlanan operasyon, Binance’in cüzdan altyapısındaki güvenlik kontrollerini aşarak büyük çaplı bir hırsızlığa dönüştü.
Binance’in soruşturma raporunda yer alan bilgilere göre saldırganlar, beş ayrı cüzdandan toplam 233,46 milyon XRP’yi kendi kontrol ettikleri cüzdanlara aktardı. Operasyon bununla sınırlı kalmadı; saldırganlar Bitcoin başta olmak üzere farklı kripto varlıkları da ele geçirdi. Çalınan toplam tutarın yaklaşık 6,3 milyar dolara ulaştığı bildirildi.
Saldırının arkasındaki kişi veya grubun kimliği ise henüz kesinleşmedi. ABD Federal Soruşturma Bürosu (FBI), olayın ardından Kuzey Kore bağlantılı tanınmış bir siber saldırı grubunu sorumlu tuttu. Kuzey Kore yönetimi ise saldırıyla bağlantısı bulunduğu iddialarını reddetti.
Binance, raporunda büyük saldırıdan önce Kuzey Kore bağlantılı olduğundan şüphelenilen 57 siber tehdit vakasını engellediğini de açıkladı. Ancak şirketin daha önce durdurduğu girişimler, bu kez çalışanların cihazlarına ve kurum içi araçlara uzanan saldırı zincirinin önüne geçemedi. Olay, yapay zekâ destekli kodlama araçlarının kurumsal ortamlarda denetimsiz kullanılmasının yanı sıra işe alım süreçlerinin de siber saldırganlar tarafından nasıl istismar edilebildiğini gösterdi.
