Kripto para borsası Binance, geçen hafta hedef olduğu siber saldırıyla ilgili ilk bulgularını kamuoyuyla paylaştı. Şirketin açıklamasında, ABD Federal Soruşturma Bürosu'nun (FBI) aktardığı son bilgilere göre saldırının arkasında Kuzey Kore'nin bulunduğu belirtildi. Binance, olağan dışı transferleri fark etmesinin ardından başlattığı müdahale sonucunda 2,85 milyar dolar değerindeki varlığın dondurulduğunu ya da ele geçirildiğini duyurdu.
Şirket, yayımlanan belgenin mevcut bilgileri ve şimdiye kadar hayata geçirilen iyileştirmeleri içeren ilk rapor niteliğinde olduğunu, soruşturmanın sürdüğünü ve bulguların bağımsız bir incelemeden de geçirileceğini vurguladı. Kötü niyetli kişilerin yeni saldırılar planlamasının önüne geçmek amacıyla bazı teknik ayrıntıların paylaşılmayacağı, konunun derinlemesine incelenmesi için bağımsız güvenlik firmalarıyla birlikte çalışıldığı da ifade edildi.
Rapora göre birden fazla ağda kısa sürede gerçekleşen saldırıda, saldırgan şirket içindeki bir cüzdan imzalama hizmetine yetkisiz erişim elde ederek olağan para çekme sürecinin dışında işlemler başlattı. Bu yolla Binance'in beş sıcak cüzdanından saldırganın kontrolündeki adreslere 233,46 milyon XRP gönderildi. Solana ve Optimism ağlarındaki sıcak cüzdanlardan yaklaşık 970 bin 500 SOL ile 44,2 milyon OP aktarılırken, ardından 18 bin 270 BTC de transfer edildi. Saldırganın daha sonra imzalama hizmeti üzerinden Ethereum'un EIP-7702 yetkilendirme mekanizmasını istismar ederek Binance'in sıcak cüzdanında kısmi işlem yetkisi kazandığı aktarıldı.
Binance, yüksek hacimli olağan dışı transferlere ilişkin uyarı aldıktan sonra para çekme işlemlerini durdurduğunu ve etkilenen tokenlerin dondurulması için iş ortaklarıyla koordinasyon sağladığını bildirdi. Ancak kötü amaçlı yetkilendirmeler normal para çekme altyapısından bağımsız işlediği için çekimlerin askıya alınmasının tüm yetkisiz hareketleri engelleyemediği, bunun da saldırının tamamen kontrol altına alınmasını geciktirdiği kaydedildi. Şirket açıklamasında, "Olay müdahale sürecini, imza politikası kapsamını ve sıcak cüzdan kontrollerini gözden geçiriyor, gelecekte tehditlere karşı hızla yanıt verme kapasitemizi daha da güçlendirecek fırsatları belirliyoruz." ifadelerine yer verdi.
Soruşturmanın şu ana kadarki sonuçları, saldırının tek bir güvenlik açığından ya da basit bir kimlik avı girişiminden değil, çok aşamalı ve gelişmiş bir kampanyadan kaynaklandığını ortaya koydu. Saldırganların sahte iş görüşmeleri aracılığıyla sosyal mühendislik, kötü amaçlı yazılım indirtme, kurum içi yapay zekâ araçlarını ele geçirme, uç nokta güvenliğini aşma ve gelişmiş işlem yetkilendirme yöntemlerini birlikte kullandığı belirtildi. Hazırlık aşamasında bir şirket çalışanının, sahte bir iş görüşmesi bahanesiyle kötü amaçlı yazılım barındıran bir kod deposunu iş bilgisayarına indirmeye yönlendirildiği ve saldırganların bu yolla çalışanların cihazlarına ve erişim bilgilerine ulaştığı aktarıldı.
Binance, 3 Kasım itibarıyla etkilenen cüzdan sistemini yeni bir ortamda yeniden kurduğunu, dahili yapay zekâ aracını ve erişim kontrollerini yenilediğini, etkilenen cihazları değiştirdiğini ve ilgili çalışanların kimlik bilgileriyle erişim anahtarlarını iptal ettiğini açıkladı. Şirket ayrıca bağımsız siber güvenlik uzmanlarından kapsamlı bir inceleme talep edeceğini, yapay zekâ destekli tehdit tespit sistemleri ile uç nokta güvenliğine yatırımlarını artıracağını duyurdu. Blokzincir ortamlarında yapay zekâ güvenliğine odaklanan bir araştırma fonu kurulması ve sektör genelindeki güvenlik girişimlerinin desteklenmesi için de çalışmaların sürdüğü bildirildi.
