Ne oldu
Binance, 3 Kasım salı günü kasadan çıkan 6,43 milyar dolarlık rekor hırsızlığın "tek bir izole ihlal ya da basit bir kimlik avı olayı" olmadığını, çok aşamalı ve sofistike bir kampanyanın sonucu olduğunu açıkladı. Şirketin anlatımına göre saldırganlar sahte işe alım görüşmeleriyle sosyal mühendislik, kötü amaçlı yazılım indirtme, kurum içi YZ aracının ele geçirilmesi, uç nokta ihlali ve gelişmiş bir işlem yetkilendirme yöntemini bir arada kullandı. FBI'ın daha önce olayı Kuzey Kore'ye atfettiği 1 Kasım sayısında aktarılmıştı.
Kimler etkileniyor
Doğrudan etkilenen Binance ve müşterileri; dolaylı olarak kripto borsaları, cüzdan altyapısı sağlayıcıları ve geliştirici ekiplerine sahip her kurum. Saldırı zinciri, yazılım geliştiricilerin kişisel arama, indirme ve iş başvurusu alışkanlıkları üzerinden kurumsal sistemlere ulaşılabildiğini gösteriyor.
Teknik ayrıntı
Binance'e göre başlangıç noktası Haziran 2026'da Cüzdan DevOps ekibinden bir mühendisin ("Mühendis A") bir arama motorunda bulduğu popüler bir YZ aracını kurmak için truva atlı bir Homebrew yükleyicisi indirmesi. Şirket olayı o sırada fark edip ilgili kimlik bilgilerini yeniledi ancak mühendisin ve cüzdan altyapısındaki meslektaşlarının rol bilgisi saldırganın eline geçti. Eylül 2026'da ikinci bir mühendise ("Mühendis B") meşru bir iş arama platformu üzerinden "Proje Direktörü" kılığında ulaşıldı; İK görüşmesinin ardından var olmayan bir şirketin CEO'su olduğunu söyleyen biriyle ikinci görüşme yapıldı ve "ödev" adıyla kötü amaçlı kod deposu indirtildi. Kod kurulum sırasında çalıştı, meşru bir geliştirme aracı bileşenini zehirli sürümle değiştirerek komut çalıştırdı, dış sunucuyla iletişim kurdu ve adli izleri sildi. 20 Ekim 2026'da saldırgan, B'nin makinesini ve kurum içi YZ aracını kullanarak A'nın ve bir başka yazılım mühendisinin (C) bilgisayarlarına geçti. 29 Ekim'de 17.15 ile 19.56 arasında C'nin makinesinden, A'nın makinesinde bulduğu konteyner dağıtım izni belirteciyle bir konteyner dağıtıp saldırıyı başlattı. Nihayetinde dahili cüzdan imzalama servisine yetkisiz erişimle normal çekim süreci dışında işlemler başlattı.
Ne yapmalı
- Geliştirici ve DevOps cihazlarında kurulum kaynaklarını (Homebrew, paket yöneticileri) kurum onaylı yansılarla sınırlayın.
- İş başvurusu ve "ödev" temalı yazışmalardan gelen kod depolarını yalnız yalıtılmış ortamda açın.
- Konteyner dağıtım belirteçlerini kısa ömürlü yapın; kurum içi YZ araçlarının yetkilerini en aza indirin.
- İmzalama servislerine çekim süreci dışı işlem için ikinci onay ve anomali alarmı ekleyin.
Doğrulama
Bağımsız kanıtla doğrulandı. Anlatım Binance'in kendi açıklamasına dayanıyor ve THN ile The Record aktardı; iki sayfa da açıldı. Soruşturma sürüyor, bağımsız firmalar bulguları inceleyecek.
Görsel: thehackernews.com
