Binance’e siber saldırı nasıl gerçekleşti: Dev soyguna giden kapı bir mühendisin bilgisayarından mı açıldı
Kripto para piyasaları tarihinin en büyük siber saldırısıyla sarsılırken, yaklaşık 6,3 milyar dolarlık varlığın hedef alındığı dev ihlalin teknik ayrıntıları ve saldırının çıkış noktası netleşmeye başladı. Dünyanın en büyük kripto para borsası ABD merkezli Binance tarafından yürütülen ilk incelemeler, saldırganların sisteme erişim sağlamak için bir DevOps mühendisine ait bilgisayarı kullandığını ortaya koydu.
Sektörde ve sosyal medyada ilk etapta “bir yazılımcının dizüstü bilgisayarını bir yerde unutması veya kaybetmesi” şeklinde yayılan iddialara karşın; yapılan teknik açıklamalar olayın fiziksel bir kayıptan ziyade, mühendisin bilgisayarına sızılması (zararlı yazılım veya oltalama yöntemleriyle ele geçirilmesi) sonucu gerçekleştiğini gösterdi.
Anahtar sızmadı, sistem yetkileri taklit edildi
Saldırıya ilişkin öne çıkan en kritik ayrıntı, Binance’in ana cüzdan özel anahtarlarının (master private keys) sızdırılmamış olması oldu. Yapılan resmi bilgilendirmelere göre saldırganlar, ele geçirdikleri mühendis bilgisayarı üzerinden dahili bir servis konteynerine (service container) yetkisiz erişim sağladı.
Saldırganlar bu erişim sayesinde sistem içinde kendilerini otomatik çekim yapmaya yetkili meşru bir iç servis gibi gösterdi. Anahtarları çalmak yerine, anahtarlara imza talimatı veren servis sistemini kontrol altına alan siber korsanlar, yaklaşık 20 dakika gibi kısa bir sürede 10 farklı blok zinciri genelinde otomatik çekim talimatları yayımlayarak milyarlarca dolarlık varlığı dışarı aktardı.
Ek giriş noktaları da araştırılıyor
Binance yönetimi ilk bulguların tek bir mühendis bilgisayarına işaret ettiğini ancak soruşturmanın derinleştirilmesiyle birlikte olayın birden fazla faktörün birleşimiyle gerçekleştiğini ve ek giriş noktalarının da incelendiğini açıkladı. Şirket, saldırı yolunun tamamen haritalandırılmasının ardından kapsamlı bir teknik analiz raporu (post-mortem) yayımlayacağını bildirdi.
Saldırının arkasında Kuzey Kore bağlantılı TraderTraitor (Lazarus) adlı siber korsan grubunun yer aldığı yönünde siber güvenlik firmalarının (TRM Labs, Chainalysis) analizleri bulunsa da, Binance yetkilileri faillerin kimliği konusunda henüz resmi bir teyitte bulunmadı. Yaklaşık 3 milyar dolarlık kısmı blok zincirler üzerinde dondurulan saldırıda, borsa yönetimi kullanıcı kayıplarının tamamını SAFU fonu ve kendi öz kaynaklarıyla tazmin edeceğini iddia etti.
