Binance saldırısı sahte iş görüşmeleriyle başladı

Binance, Kuzey Koreli hackerların geçen hafta yaklaşık 6,34 milyar dolarlık kripto para çalmak için aylarca süren bir hazırlık süreci geçirdiğini duyurdu. Borsa, 3 Kasım'da yayımladığı güvenlik raporunda, saldırganların bir mühendislik çalışanını sahte bir iş görüşmesi yoluyla kandırarak kötü amaçlı yazılım yüklettiğini ve bir diğerini ise zararlı bir Homebrew yüklemesiyle hedef aldığını belirtti. Binance, "Mevcut araştırmamız, bu durumun karmaşık ve çok aşamalı bir kampanya olduğunu gösteriyor. Bu, tek bir izole ihlal ya da basit bir oltalama olayı değildi," ifadelerini kullandı.

İlk Saldırı ve Homebrew Kullanımı

Binance’a göre, ilk bilinen ihlal Haziran ayında gerçekleşti. Binance'in Cüzdan Geliştirme Operasyonları ekibinde çalışan bir mühendis, popüler bir yapay zeka kodlama aracı ararken bozulmuş bir Homebrew yüklemesi indirdi. Homebrew, geliştiricilerin macOS üzerinde çeşitli yazılımları yükleyip yönetmelerine yardımcı olan bir paket yöneticisidir. Binance, bu durumu tespit ederek mühendisin cihazını değiştirdi ve ona ait kimlik bilgilerini güncelledi. Ancak bu önlemler, saldırganların çalışan hakkında bilgi edinmesi ve cüzdan altyapısında çalışan meslektaşlarını tanımlaması için yeterli olmadı.

Sahte İş Görüşmeleriyle İkinci İhlal

Eylül ayında, başka bir Binance yazılım mühendisi, meşru bir iş arama platformu aracılığıyla sahte bir proje direktörü tarafından kandırıldı. Sahte işe alımcı, iki görüşme ayarladı. İlk görüşmede, sahte bir insan kaynakları temsilcisi canlı video görüşmesi yaparak sosyal medya hesaplarından kişisel fotoğraflar paylaştı. İkinci görüşmede ise sahte bir CEO rolünde biri yer aldı. Görüşmenin sonunda mühendis, kötü amaçlı yazılım içeren bir kodlama ödevi indirmeye zorlandı. Bu zararlı yazılım, kurulum sürecinde çalışmaya başladı ve Binance, bu yazılımın Python versiyon yönetim aracı olan "pvenv"nin meşru bir bileşenini kötü amaçlı bir versiyonla değiştirdiğini bildirdi.

Ekim Ayındaki Gelişmeler

Saldırılar, 20 Ekim'de etkisini göstermeye başladı. Saldırganlar, sahte görüşmelerle ele geçirilen bilgisayarları ve dahili bir yapay zeka aracını kullanarak iki cüzdan mühendisinin cihazlarına erişim sağladı. Ayrıca, Haziran ayında hedef alınan mühendisin bilgisayarında depolanan bir konteyner dağıtım izin token'ını keşfettiler. 29 Ekim'de ise çalınan kimlik bilgilerini kullanarak başka bir mühendisin bilgisayarına erişim sağladılar, bir konteyner dağıttılar ve kötü amaçlı bir betik çalıştırdılar. Bu, Binance'in iç cüzdan imzalama servisine erişim sağladı ve borsa dışındaki beş sıcak cüzdandan işlem yapılmasına olanak tanıdı.

FBI'ın Açıklamaları ve Sonuçlar

ABD Federal Soruşturma Bürosu (FBI), 1 Kasım'da bu hırsızlığı Kuzey Kore'ye atfetti. FBI, Kuzey Kore'nin Binance'tan 6 milyar dolardan fazla sanal varlık çaldığını duyurdu. Pyongyang ise bu suçlamaları reddederek, ABD'nin iddialarını "saçmalık" olarak nitelendirdi. Binance, bu süreçte yaklaşık 2,85 milyar dolarlık çalınan varlıkları dondurduğunu ve etkilenen fonların %98'inin geri kazanıldığını bildirdi.

Kuzey Kore'nin Taktikleri

Bu saldırı, daha önceki Kuzey Kore bağlantılı kampanyaları andırıyor. WaterPlum saldırganları, sahte iş ilanları ve kodlama testleri kullanarak 30,000'den fazla cihazı enfekte etmiş ve Eylül ayında 7,000'den fazla kripto cüzdanı ele geçirmişti. 2024 yılında Python geliştiricilerini hedef alan bir kampanya, Lazarus grubuna atfedildi ve bu grup 2025'te 1,5 milyar dolarlık Bybit hack'i ile de ilişkilendirildi. Saldırganlar, potansiyel işverenler gibi görünerek geliştiricilere zararlı kod içeren testler göndermişti.