Binance: Milyarlarca Kripto Para Çalan Hacker’lar Soygun Öncesi Aylarca Planlama Yaptı.

Binance, borsadan milyarlarca dolarlık kripto parayı çalan hackerların, soygunu planlamak için aylarca çalıştığını ve bu sırada hem sosyal mühendisliği hem de yeni nesil kötü amaçlı yazılımı kullandığını Salı günü açıkladı.

FBI ve TRM Security firmasının Kuzey Koreli aktörlere atfettiği soygun, başlangıçta Binance cüzdanlarından 6,34 milyar dolarlık kripto parayı hedef aldı. Borsa, bu tutarın 2,85 milyarını ya dondurdu ya da engelledi. Binance, zararı karşılamak için gereken fonları ayırdığını ve bu bağlantıdan Kanıtlı Rezervler sayfasına erişim sağladığını belirtti. 6,34 milyar dolar, bir kripto para soygununda şimdiye kadar hedeflenen en büyük tutarı temsil ediyor.

Gelişmiş kalıcı tehdit

Binance, soygunun arkasındaki kişilerin en geç Haziran ayında başladığını ve geçen Perşembe, bir mühendisin dizüstü bilgisayарı başarıyla ele geçirip birkaç cüzdandan varlıkları çekene kadar devam ettiğini söyledi. Herhangi bir kuruluşun maruz kaldığı kamuya açık, yüksek sonuçlu bir siber saldırısında olduğu gibi, Binance tehdit aktörünün sofistike ve zekice davrandığını belirtti.

“Güncel soruşturmamız, bunun sofistike, çok aşamalı bir kampanya olduğunu gösteriyor,” şirketin şimdiye kadar yürüttüğü soruşturmayı içeren raporda yer alıyor. “Bu, tek bir izole edilmiş ihlal ya da basit bir oltalama olayı değildi. Saldırganlar, sahte işe alım mülakatlarıyla mühendislik, kötü amaçlı yazılım indirmeleri, ele geçirilmiş iç AI araçları, uç nokta ihlali ve gelişmiş bir işlem onay yöntemi dahil olmak üzere bir dizi tekniği birleştirdi.”

Binance, ihalle ilgili ilk olayın muhtemelen Haziran ayında, bir mühendisin bozulmuş Homebrew sürümünü indirmesiyle gerçekleştiğini belirtti. Şirketin bu olaya ilişkin olarak Mayıs ayında bildirdiği olayda, güvenlik ekibi ihlal edilmiş dizüstü bilgisayarı tespit etti, ancak bu, kötü amaçlı yazılım operatörleri mühendisin ve Binance cüzdan altyapı ekibindeki ilgili arkadaşlarının rolleri hakkında bilgi edinmeden önce gerçekleşmedi.

Eylül ayında, ayrı bir mühendise, kullandığı meşru bir iş arama platformu üzerinden mesajlar ulaştı. Mesaj, yeni çalışan işe almak isteyen bir proje yöneticisi kimliğine bürünmüş bir kişiden geliyordu. Söz konusu proje yöneticisi, ilk tur mülakatı hayali bir şirketin iddia edilen İnsan Kaynakları temsilcisiyle, ikinci tur mülakatı ise söz konusu sahte şirketin iddia edilen CEO’suyla planladı.

Video konferans platformu üzerinden gerçekleştirilen ilk mülakatta, iddia edilen İnsan Kaynakları temsilcisi, kişisel fotoğraflar ve videolar içeren bir sosyal medya hesabını paylaştı. İkinci mülakat ise bir sosyal sohbet uygulaması üzerinden yapıldı. Bu sırada mühendise, içinde kötü amaçlı kod barındıran ve kurulum sürecinde mühendisin cihazında sonradan yürütülen bir kod deposuna yönlendiren bir “görev” indirmesi söylendi.

“Kötü amaçlı yazılım, komutları çalıştırmak ve saldırganın kontrolündeki harici bir sunucuyla iletişim kurmak için meşru bir geliştirme aracı bileşenini kötü amaçlı bir sürümle değiştirmek dahil olmak üzere gelişmiş gizleme ve tespit edilmeden kaçma teknikleri kullandı. 0-gün (güncellenmemiş) kötü amaçlı yazılım, o anda uç nokta güvenlik koruma araçları tarafından tespit edilmedi. Saldırgan ayrıca kötü amaçlı faaliyeti gizlemek ve ihlalin izlerini kaldırmak için adımlar attı, böylece tespiti ve sonrasındaki soruşturmayı zorlaştırdı,” dedi Binance.

20 Ekim’de saldırganlar, ihlal edilen mühendisin bilgisayarı ve dahili bir yapay zekâ aracını kullanarak, trojanlı Homebrew kurucusu ile daha önce hedeflenen dahil olmak üzere iki mühendis cihazının daha kontrolünü ele geçirdi. Bu mühendisin cüzdanında, bir konteyner dağıtımına erişim sağlayan bir token bulunuyordu.

Dokuz gün sonra, 17:15 ile 19:56 UTC arasında tehdit aktörü, üçüncü mühendisin cihazına giriş yaptı, çalınan kimliği kullandı, bir konteyner dağıttı ve transferi başlatmak için bir betiği etkinleştirdi. Saldırganlar, işlemleri normal para çekme sürecinin dışında tamamlamak için yetkisiz erişimlerini dahili bir cüzdan imzalama hizmetine kadar genişletti.

Binance şöyle devam etti:

Binance’in Solana ve Optimism üzerindeki sıcak cüzdanları, yaklaşık 970.500 SOL ve 44,2 milyon OP, saldırganın kontrolündeki adreslere gönderdi.

Binance ardından, büyük hacimli transferlerle ilgili dahili bir uyarı aldı ve derhal soruşturmayı başlattı.

Binance sıcak cüzdanı, 18.270 BTC’yi saldırganın kontrolündeki bir adresi gönderdi.

Saldırgan daha sonra Ethereum’un EIP-7702 yetkilendirme mekanizmasını sömürmek için imzalama hizmetini kullandı. EIP-7702, bir hesabın özel anahtarını ifşa etmeden belirli yürütme yetkilerini bir akıllı sözleşmeye devredebilmesini sağlar. Bu durumda saldırgan, bu mekanizmayı, saldırganın kontrolündeki bir akıllı sözleşmeye Binance sıcak cüzdanı üzerinde kısmi yürütme yetkisi vermek için kullandı.

Binance, daha fazla çıkışı sınırlamak için para çekme işlemlerini askıya alma, etkilenen tokenları dondurmak için ortaklarıyla koordinasyon kurma ve yetkisiz izinleri geri alma adımları dahil olmak üzere çok sayıda sınırlama önlemi aldı. Bu çalışmalar, toplamda 2,85 milyar dolarlık varlıkları dondurdu.

Bununla birlikte, para çekme işlemlerini askıya almanın tek başına tüm yetkisiz varlık hareketlerini durdurması mümkün değildi. Zararlı EIP-7702 yetkilendirmeleri zincir üzerinde mevcuttu ve Binance’in normal para çekme altyapısından bağımsız çalışıyordu. Saldırganlar, hesap nonce’ını manipüle etmek ve zararlı devretme yetkilendirmelerini oluşturmak için 50 imzalama işlemi gönderdi. Bir kez oluşturulan bu yetkilendirmeler, saldıranların varlıkları Binance’in normal para çekme altyapısından bağımsız şekilde hareket ettirmeye devam etmesini sağladı. Binance, bu zincir üzerindeki yetkilendirmeleri geri almak için ek işlemlere ihtiyaç duydu.

Sınırlama süreci, ek teknik karmaşıklıklar içeriyordu. Sıcak cüzdan Çok Taraflı Hesaplama (MPC) kullandığı için, zararlı EIP-7702 yetkilendirmelerini derhal geri almak için kullanılabilecek tek bir özel anahtar yoktu. Bu nedenle ekip, bu yetkilendirmeleri geri almayı gerektiren ve ek zaman isteyen özel bir prosedür geliştirdi ve uyguladı. Ayrıca, para çekme işlemlerini askıya almak ve sıcak cüzdan hizmetlerini kapatmak, mevcut zincir üzerindeki yetkilendirmeleri otomatik olarak geçersiz kılmadı.

Ayrı olarak TRM Security, saldırganların aktarılan varlıkları TRON ve Ethereum blokzincir ağları üzerinden başarılı biçimde aklamak için çeşitli yöntemler kullandığını belirtti. Yöntemler arasında “kendi kendine madencilik yapılan bir token ve likidite havuzu, cüzdanlar arasında aktarılan bir kredi makbuzu token’ı ve iki köprü üzerinden zincirlenmiş zincirler arası takas” yer aldı.

TRM, Kore Demokratik Halk Cumhuriyeti’ne bağlı siber saldırgan grubunu TraderTraitor adıyla takip ediyor.