Binance, sahte mülakat ve yapay zeka aracı suistimaliyle 6.43 milyar dolarlık hırsızlığı açıkladı

Binance Salı günü, en büyük kripto borsasından $6.43 milyar değerinde varlığın çalınmasının sosyal mühendislik, kötü amaçlı yazılım ve iç araç suistimaliyle yürütülen çok aşamalı bir kampanyanın sonucu olduğunu açıkladı. Şirket, saldırının iki mühendisi hedef aldığını; sahte işe alım mülakatları, kurcalanmış Homebrew kurulumu, ele geçirilmiş dahili yapay zeka araçları, uç nokta ihlali ve gelişmiş bir işlem yetkilendirme yöntemini birleştirdiğini belirtti.

Saldırı Nasıl Başladı

Başlangıç, Haziran 2026'da popüler bir yapay zeka aracı ararken truva atı bulaştırılmış Homebrew yükleyicisi indiren Cüzdan DevOps ekibinden Mühendis A'ya yönelik tedarik zinciri saldırısıydı. Binance, saldırıyı tespit edip önlem olarak ilgili kimlik bilgilerini yenilediğini, ancak Mühendis A ve cüzdan altyapısı ekibindeki meslektaşlarına ait bilgilerin açığa çıktığını söyledi. Eylül 2026'da bir tehdit aktörü, meşru bir iş arama platformunda Proje Direktörü kılığına girip Mühendis B ile iletişime geçti; ardından bir İK temsilcisi ve var olmayan bir şirketin CEO'su olduğunu iddia eden biriyle mülakatlar ayarladı.

İlk video mülakatında İK temsilcisi güven için kişisel fotoğraf ve videolu bir sosyal medya hesabı paylaştı. Popüler bir sosyal sohbet uygulamasındaki ikinci turda Mühendis B'ye iş bilgisayarına kötü amaçlı kod deposu içeren ödev indirmesi söylendi. Depo kurulumda kötü amaçlı kod çalıştırdı; yazılım gizleme ve kaçınma teknikleri kullandı, meşru bir geliştirme aracı bileşenini zehirli sürümle değiştirdi, saldırgan sunucusuyla iletişim kurdu ve adli izleri kaldırdı.

İç Sistem Suistimali

20 Ekim 2026'da saldırgan, Mühendis B'nin ele geçirilmiş bilgisayarını ve dahili bir yapay zeka aracını suistimal ederek Mühendis A ile Mühendis C adlı diğer Cüzdan Yazılım Mühendisi üzerinde kontrol kazandı. Saldırgan, Mühendis A'nın bilgisayarında konteyner dağıtım izin jetonu buldu. 29 Ekim'de 17:15 ile 19:56 arasında saldırgan, Mühendis C'nin bilgisayarına oturum açtı, Mühendis A'dan çalınan kimlik bilgilerini kullandı, konteyner dağıttı ve kötü amaçlı betik tetikledi. Saldırı, normal para çekme süreci dışında işlem başlatmak için dahili cüzdan imzalama hizmetine yetkisiz erişim kullandı.

Yanıt ve Tehditler

3 Kasım itibarıyla Binance, etkilenen cüzdan sistemini yeni ortamda yeniden kurduğunu, dahili yapay zeka aracını ve erişim kontrollerini yeniden inşa ettiğini söyledi. Cihazları değiştirdi, ilgili mühendislerin kimlik bilgilerini ve jetonları devre dışı bıraktı, tüm çalışan cihazlarında gelişmiş güvenlik taramalarını tamamladı, yapay zeka tabanlı davranışsal anormallik tespitini ve cüzdan hizmeti risk kontrollerini güçlendirdi, etkilenen varlıkları izlemek ve dondurmak için kolluk kuvvetleri, blok zinciri istihbarat şirketleri ve sektör ortaklarıyla çalıştı. Şirket, saldırı giriş noktalarının kapatıldığını, saldırı yolundaki sistemlerin yeniden inşa veya değiştirildiğini söyledi.

Binance ayrıca yapay zeka destekli tespit, uç nokta koruması, geliştirici ortamı güvenliği ve davranışsal anormallik izlemeye yatırımı artırdığını söyledi. Yılbaşından bu yana Kuzey Kore bağlantılı şüpheli 57 siber tehdit vakasını önlediğini tahmin ediyor. Bu vakalarda sahte iş görüşmeleri, popüler geliştirici araçları kılığında kötü amaçlı yazılımlar, ele geçirilmiş yazılım paketleri ve tarayıcı uzantıları, sahte video konferans uygulamaları ve kimlik bilgilerini çalmak veya uzaktan erişim kötü amaçlı yazılımı dağıtmak için sosyal mühendislik kampanyaları yer alıyor.

Önceki haberler: Binance $6.3 milyar kripto ihlali sonrası para çekmeyi yeniden başlattı · 6.3 milyar dolarlık Binance hırsızlığından Kuzey Koreli hackerlar sorumlu tutuldu

Kaynaklar: The Hacker News