Binance, geçen hafta maruz kaldığı siber saldırıya ilişkin ilk bulguları içeren raporu paylaştı.
Şirket tarafından yapılan açıklamada, bunun mevcut bilgileri ve halihazırda yapılan iyileştirmeleri kapsayan ilk rapor olduğuna işaret edilerek, soruşturma sürecinin devam ettiği, elde edilen bulguların ayrıca bağımsız bir incelemeye tabi tutulacağı kaydedildi.
Kötü niyetli kişilerin bu bilgileri yeni saldırılar planlamak için kullanmasını önlemek adına, bazı teknik detayların gizli tutulacağı ifade edilen açıklamada, konunun daha kapsamlı incelenmesi için bağımsız güvenlik firmalarıyla çalışıldığı belirtildi.
Açıklamada, Federal Soruşturma Bürosu (FBI) tarafından paylaşılan son bilgilere göre bu olaydan Kuzey Kore'nin sorumlu olduğu aktarıldı.
Dahili cüzdan imzalama hizmetine yetkisiz erişimle başladı
İlk bulgulara dair açıklamada, birden fazla ağ üzerinde hızla gerçekleşen olayda, saldırganın, dahili bir cüzdan imzalama hizmetine yetkisiz erişim sağlayarak normal para çekme sürecinin dışında işlemler başlattığı aktarıldı.
Saldırganın kontrolündeki adreslere, Binance'in beş sıcak cüzdanından 233,46 milyon XRP gönderildiği, ayrıca Solana ve Optimism ağlarındaki sıcak cüzdanlardan da yaklaşık 970 bin 500 SOL ve 44,2 milyon OP aktarıldığı belirtilen açıklamada, daha sonra ise 18 bin 270 BTC transfer edildiği bildirildi.
Açıklamada, saldırganın daha sonra imzalama hizmetini kullanarak Ethereum'un EIP-7702 yetkilendirme mekanizmasını istismar ettiği, böylelikle Binance'in sıcak cüzdanında kısmi işlem yetkisi elde ettiği belirtildi.
Binance'in olağan dışı yüksek hacimli transferlere ilişkin uyarı almasının ardından para çekme işlemlerini durdurduğu ve etkilenen tokenlerin dondurulması için iş ortaklarıyla koordinasyon sağladığı vurgulanan açıklamada, bu çabalar sonucunda 2,85 milyar dolarlık varlığın dondurulduğu veya ele geçirildiği ifade edildi.
Ancak kötü amaçlı yetkilendirmelerin normal para çekme altyapısından bağımsız çalışması dolayısıyla para çekme işlemlerini askıya almanın yetkisiz varlık hareketlerinin tamamını durduramadığı belirtilen açıklamada, bu zorlukların saldırının tamamen kontrol altına alınması için gereken süreyi uzattığı bildirildi.
Açıklamada, "Olay müdahale sürecini, imza politikası kapsamını ve sıcak cüzdan kontrollerini gözden geçiriyor, gelecekte tehditlere karşı hızla yanıt verme kapasitemizi daha da güçlendirecek fırsatları belirliyoruz." ifadeleri kullanıldı.
Hazırlık süreci
Mevcut soruşturmanın, saldırının çok aşamalı ve gelişmiş bir saldırı kampanyası olduğunu gösterdiğine değinilen açıklamada, saldırının tek bir güvenlik ihlalinden veya basit bir kimlik avı girişiminden ibaret olmadığına dikkat çekildi.
Açıklamada, saldırganların sahte iş görüşmeleri yoluyla gerçekleştirilen sosyal mühendislik, kötü amaçlı yazılım indirme, kurum içi yapay zeka araçlarının ele geçirilmesi, uç nokta güvenliğinin ihlali ve gelişmiş işlem yetkilendirme yöntemleri gibi çeşitli teknikleri bir arada kullandığı kaydedildi.
Saldırının hazırlık sürecinde, şirket çalışanlarından birinin sahte bir iş görüşmesi aracılığıyla kötü amaçlı yazılım içeren bir kod deposunu iş bilgisayarına indirmeye yönlendirildiği kaydedilen raporda, saldırganların bu yolla çalışanların cihazlarına ve erişim bilgilerine ulaştığı aktarıldı.
Güvenliğe yönelik yatırımlar artırılacak
Açıklamada, Binance'in 3 Kasım itibarıyla etkilenen cüzdan sistemini yeni bir ortamda yeniden oluşturduğu, dahili yapay zeka aracını ve erişim kontrollerini yenilediği, etkilenen cihazları değiştirdiği ve ilgili çalışanların kimlik bilgileri ile erişim anahtarlarını devre dışı bıraktığı bildirildi.
Şirketin ayrıca bağımsız siber güvenlik uzmanlarından kapsamlı bir inceleme yapmalarını isteyeceği kaydedilen açıklamada, yapay zeka destekli tehdit tespit sistemlerine ve uç nokta güvenliğine yönelik yatırımların artırılacağı duyuruldu.
Açıklamada, blokzincir ortamlarında yapay zeka güvenliğine odaklanan araştırma fonunun oluşturulması ve sektör genelinde güvenlik girişimlerinin desteklenmesi için de çalışmalar yürütüldüğü ifade edildi.
