Binance: Sahte iş görüşmeleri ve AI aracı 6,3 milyar dolarlık soygunu mümkün kıldı

Eylül'de ise başka bir mühendis hedef alındı. İşe almak istiyormuş gibi davranan kişi bir dizi görüşme ve birkaç mülakat turu ayarladı, güven oluşturmak için sosyal medya sayfaları paylaştı. Sonunda mağduru, aslında kötü amaçlı yazılım olan sahte bir mülakat ödevini indirmeye yönlendirdi.

Binance, güvenlik ekiplerinin Haziran'daki ilk bulaşmayı tespit ettiğini ve çalışanın cihazını değiştirdiğini söylüyor. Ancak ikinci saldırı güvenlik araçlarına takılmadı: zararlı yazılım pyenv çalıştırılabilir dosyasını silip yerine arka kapı erişimi sağlayan kötü amaçlı bir sürümünü koydu. Şirket bunu, izlerini de silen bir 0-day zararlı olarak tanımlıyor.

Şirket içi AI aracı ve geç müdahale

Rapora göre saldırganlar 20 Ekim'e kadar Binance'in kendi şirket içi AI aracını kullanarak Haziran'da ele geçirilen ilk mühendisin ve üçüncü bir çalışanın cüzdanları üzerinde kontrol sağladı. 29 Ekim'de üçüncü çalışanın bilgisayarına giriş yapıp saldırıyı başlattılar.

Rapor, ilk yetkisiz transferlerden yaklaşık iki saat sonra gerçekleşen işlemlerin neden durdurulamadığını da açıklıyor. Sıcak cüzdan çok taraflı hesaplama (MPC) kullandığı için kötü amaçlı EIP-7702 yetkilendirmelerini anında iptal edebilecek tek bir özel anahtar yoktu.

Binance, Kuzey Kore bağlantılı olduğundan şüphelenilen 57 siber tehdit vakasını engellediğini bildiriyor. CEO Richard Teng ise hiçbir kullanıcının zarar etmediğini, çalınan varlıkların yaklaşık 2,85 milyar dolarının dondurulduğunu ya da engellendiğini söylüyor. Teng'e göre etkilenen tokenların yüzde 98'i yerine konuldu, kalan yüzde 2 tamamlanıyor ve para çekme işlemleri büyük oranda yeniden başladı.

Saldırının neden işe yaradığı hâlâ net değil. İş görüşmesi bahanesiyle işverene ait kaynaklara erişimi olan makinelerde kod indirtme tehlikesi yıllardır biliniyor. Saldırganların kullandığı şirket içi AI aracı ve onlara nasıl yardımcı olabildiği konusunda ise ayrıntı çok az.