Binance, geçen hafta gerçekleşen siber saldırıya ilişkin ilk bulgularını paylaşırken, olayın tek bir ihlalden ibaret olmayan, çok aşamalı ve gelişmiş bir saldırı kampanyası olduğunu bildirdi.
Soruşturma sürüyor, bazı teknik bilgiler gizli tutulacak
Şirket açıklamasında, yayımlanan raporun mevcut bilgilerle şimdiye kadar uygulanan iyileştirmeleri kapsayan ilk çalışma olduğu belirtildi. Soruşturmanın devam ettiği, elde edilen bulguların bağımsız bir incelemeden geçirileceği kaydedildi.
Kötü niyetli kişilerin yeni saldırılar planlamasını zorlaştırmak amacıyla bazı teknik ayrıntıların paylaşılmayacağı ifade edildi. Binance, kapsamlı bir değerlendirme için bağımsız güvenlik firmalarıyla işbirliği yaptığını da açıkladı.
Federal Soruşturma Bürosu (FBI) tarafından aktarılan son bilgilere göre, saldırının arkasında Kuzey Kore bulunuyor.
Saldırı dahili cüzdan imzalama hizmetiyle başladı
İlk incelemeye göre saldırgan, birden fazla ağda kısa sürede gerçekleşen olay sırasında dahili cüzdan imzalama hizmetine yetkisiz erişim sağladı. Bu erişim kullanılarak olağan para çekme akışının dışında işlemler başlatıldı.
Saldırganın kontrolündeki adreslere Binance’in beş sıcak cüzdanından 233,46 milyon XRP gönderildi. Solana ve Optimism ağlarındaki sıcak cüzdanlardan da yaklaşık 970 bin 500 SOL ile 44,2 milyon OP aktarıldı. Sonraki aşamada 18 bin 270 BTC transfer edildi.
Açıklamaya göre saldırgan, imzalama hizmeti üzerinden Ethereum’un EIP-7702 yetkilendirme mekanizmasından yararlanarak Binance’in sıcak cüzdanında kısmi işlem yetkisi elde etti.
2,85 milyar dolarlık varlık donduruldu veya ele geçirildi
Binance, olağan dışı yüksek hacimli transferler için uyarı almasının ardından para çekme işlemlerini durdurdu. Şirket ayrıca etkilenen tokenlerin dondurulması için iş ortaklarıyla koordinasyon kurdu.
Bu çalışmalar sonucunda 2,85 milyar dolarlık varlığın dondurulduğu veya ele geçirildiği bildirildi. Ancak kötü amaçlı yetkilendirmelerin normal para çekme altyapısından bağımsız çalışması, para çekme işlemlerinin askıya alınmasının tüm yetkisiz varlık hareketlerini durdurmasını engelledi. Binance, bu durumun saldırının tamamen kontrol altına alınması için gereken süreyi uzattığını belirtti.
Şirket açıklamasında şu ifadelere yer verildi: “Olay müdahale sürecini, imza politikası kapsamını ve sıcak cüzdan kontrollerini gözden geçiriyor, gelecekte tehditlere karşı hızla yanıt verme kapasitemizi daha da güçlendirecek fırsatları belirliyoruz.”
Sosyal mühendislik ve kötü amaçlı yazılım kullanıldı
Binance’in mevcut soruşturması, olayın basit bir kimlik avı girişimi ya da tek bir güvenlik açığı olmadığını gösteriyor. Saldırganların farklı yöntemleri birlikte kullandığı belirlendi.
- Sahte iş görüşmeleri üzerinden sosyal mühendislik
- Kötü amaçlı yazılım indirilmesi
- Kurum içi yapay zeka araçlarının ele geçirilmesi
- Uç nokta güvenliğinin aşılması
- Gelişmiş işlem yetkilendirme yöntemleri
Rapora göre hazırlık aşamasında şirket çalışanlarından biri, sahte bir iş görüşmesi aracılığıyla kötü amaçlı yazılım içeren bir kod deposunu iş bilgisayarına indirmeye yönlendirildi. Saldırganlar bu yöntemle çalışanların cihazlarına ve erişim bilgilerine ulaştı.
Binance güvenlik yatırımlarını artıracak
Şirket, 3 Kasım itibarıyla etkilenen cüzdan sistemini yeni bir ortamda yeniden kurduğunu açıkladı. Dahili yapay zeka aracı ile erişim kontrolleri yenilenirken, etkilenen cihazlar değiştirildi; ilgili çalışanların kimlik bilgileri ve erişim anahtarları devre dışı bırakıldı.
Binance ayrıca bağımsız siber güvenlik uzmanlarından kapsamlı inceleme talep edecek. Yapay zeka destekli tehdit tespit sistemleriyle uç nokta güvenliğine yapılacak yatırımlar artırılacak.
Açıklamada, blokzincir ortamlarında yapay zeka güvenliğine odaklanan bir araştırma fonu oluşturulması ve sektör genelindeki güvenlik girişimlerinin desteklenmesi için de çalışmalar yürütüldüğü bildirildi.
