Binance, saldırganların şirketten 6,3 milyar doları nasıl çektiğine dair ilk ayrıntılı açıklamasını yaptı — ve giriş yolu, iş başvurusu yapan bir mühendisle başladı. Salı günü yayımlanan ilk bulgularda dünyanın en büyük kripto borsası, aylar öncesinden kurulan "sofistike, çok aşamalı bir kampanya" tarif ediyor.
İlk hamle sosyal mühendislikti. Bir Binance mühendisi, meşru bir iş arama platformu üzerinden iletişime geçilerek bir şirketin temsilcisi gibi davranan kişilerle sahte mülakatlara çağrıldı. Saldırganlar güveni, Binance'in deyimiyle "daha gelişmiş ve daha aldatıcı" yöntemlerle kurdu; bunların arasında kişisel fotoğraflar içeren sosyal medya hesapları da vardı. İkinci görüşmede mühendise indirmesi için bir "ödev" gönderildi. Bu bir zararlı yazılımdı; kodu, tespitten kaçmasını sağlayan gizleme teknikleriyle sarılmıştı.
Saldırganlar o makineden ekim ayında ele geçirilmiş bir şirket içi YZ aracına ulaştı ve onu kullanarak iki Binance mühendisinin dizüstü bilgisayarını daha kontrol altına aldı. Oradan borsanın cüzdan altyapısını yöneten araçlara erişip içini boşalttılar. Binance olayı "ciddi ve son derece sofistike bir güvenlik ihlali" olarak nitelendirdi ve özür diledi: "Bu yaşanmamalıydı."
Sonuçlar kullanıcılara hemen yansıdı. Binance, hizmet pazar günü yeniden açılana kadar dünya genelinde para çekme işlemlerini durdurdu. Şirket, zararı karşılamak için gereken tutarın yüzde 100'ünden fazlasını ayırdığını, etkilenen token varlıklarının yüzde 98'inin cumartesi itibarıyla yerine konduğunu söylüyor. FBI ve Gizli Servis izleme çalışmalarına destek veriyor; Binance artık ABD kurumlarının saldırıyı Kuzey Kore'ye atfettiğini aktarıyor. Pyongyang bunu reddediyor; Kim Yo Jong suçlamayı Washington'ın ülkenin imajına zarar vermeye yönelik "kötücül bir girişimi" olarak niteledi.
Binance'in bundan sonra ne yapacağını söylemesi ise en dikkatli okunması gereken kısım: güvenlik tehditlerini tespit eden YZ araçlarına daha fazla yatırım yapmak, olayın tam kapsamlı incelemesi için üçüncü taraf firmaları getirmek ve bir güvenlik araştırma fonu kurmak. Saldırganların sıçrama tahtası olarak kullandığı araç, şirketin büyütmeyi planladığı araç — bu kez savunma tarafında.
Neden önemli: Şirket içi YZ asistanları artık şirket verilerine, destek kayıtlarına, koda ve altyapı erişimlerine bağlı. Onları değerli bir ara hedef yapan tam olarak bu erişim: bir ajanı ele geçiren, ikinci bir açık aramadan onun izinlerini devralır. Binance, şirket içi bir YZ aracının yetki sınırının da üretim veritabanınınki gibi denetlenmesi gerektiğinin şimdiye kadarki en pahalı kanıtı.
İzlenecekler: diğer borsalar ve finans platformları benzer olay raporları yayımlayacak mı, ve "şirket içi YZ aracı işletiyoruz" ifadesi güvenlik raporlarında bir verimlilik tedbiri olarak değil, başlı başına bir saldırı yüzeyi olarak görünmeye başlayacak mı.
