Kasanın kapısı bir mühendisin dizüstüydü

Binance'in salı günü yayımladığı anlatımı okurken bir yerde durdum. Altı milyar dolardan fazla paranın çıktığı olayın başlangıcı, bir mühendisin arama motorunda popüler bir YZ aracı araması. Tıkladığı sonuç, truva atlı bir Homebrew yükleyicisine çıkıyor. Ne bir sıfırıncı gün var ne de sofistike bir kripto hilesi; bir arama kutusu ve acele.

Benim takıldığım yer şu: Binance bunu Haziran'da fark ediyor, ilgili kimlik bilgilerini yeniliyor, yani doğru refleksi gösteriyor. Ama saldırganın elinde artık bir şey var: Cüzdan altyapısında kimin ne iş yaptığının listesi. Bu bilgi kasanın anahtarı değil, anahtarı taşıyanların adresi. Savunma tarafı genellikle çalınan parolayı döndürür ve dosyayı kapatır. Saldırgan ise çalınan organizasyon şemasını aylarca saklayabilir.

Eylülde sahneye ikinci mühendis giriyor. Meşru bir iş arama platformunda bir 'Proje Direktörü', ardından var olmayan bir şirketin CEO'su olduğunu söyleyen biri. Görüşmenin sonunda bir 'ödev' geliyor: bir kod deposu, çalışma bilgisayarına indirilecek. Kurulum sırasında kod çalışıyor, meşru bir geliştirme aracı bileşeninin yerine zehirli bir sürüm koyuyor ve izlerini siliyor. Burada kimse bir güvenlik duvarını aşmıyor; biri, kendi isteğiyle, kapıyı açıyor. Üstelik iş görüşmesi, insanın en çok güvenmeye hazır olduğu anlardan biri.

Üçüncü perde 20 Ekim. Saldırgan, ilk mühendisin makinesinden Binance'in kurum içi YZ aracını kullanarak diğer iki mühendisin bilgisayarına geçiyor. Bu, haberin en az konuşulacak ama en çok düşünülmesi gereken kısmı. Kurumlar bu araçları verimlilik için açtı; araçların yetkileri ise çoğu zaman bir insan çalışanın yetkisine yakın, hatta fazla. Şirket şimdi aracı yeniden kurduğunu ve erişim denetimlerini sıkılaştırdığını söylüyor. Cümle kısa, ama anlamı büyük: araç saldırganın hizmetine girebiliyordu.

29 Ekim'de akşam 17.15 ile 19.56 arasında iş bitiyor. Saldırgan, bir başka mühendisin bilgisayarında, ilk mühendisin makinesinde bulduğu konteyner dağıtım belirtecini kullanıyor, bir konteyner dağıtıyor ve betiği çalıştırıyor. Sonra dahili cüzdan imzalama servisine ulaşıp normal çekim sürecinin dışında işlemler başlatıyor. Yani para, bankanın kapısından değil, imza odasının arka penceresinden çıkıyor.

Bir de şu var: Binance saldırının ardından etkilenen cüzdan sistemini yeni bir ortamda yeniden kurduğunu, kullanılan giriş noktalarını kapattığını ve cihaz denetimlerini sıkılaştırdığını söylüyor. Yani temizlik, tek bir yamayla değil, mimariyi baştan kurarak yapılıyor. Bunu okuyan her güvenlik yöneticisi, kendi imzalama ve dağıtım hatlarının böyle bir yeniden kurulumu kaldırıp kaldırmayacağını sormalı; çünkü hazırlıksız yeniden kurulum, haftalar süren bir kesinti demek.

Bu olayı bir kripto hikâyesi olarak okumayı bırakın. Bir geliştirici cihazı, bir dağıtım belirteci ve bir imzalama servisi her şirkette var; adları değişiyor. Bir CISO'nun bugün sorması gereken soru 'Binance'e benzer miyiz' değil. Soru şu: bir geliştiricimizin dizüstü bilgisayarı ele geçirilirse, ondan kaç adımda üretimde imza atabilen bir hesaba ulaşılır? O adım sayısı iki ise bile uyku kaçırmalı.

Hüküm net: şirket savunması artık çevre ağda değil, geliştiricinin masasında başlıyor. Kurulum kaynaklarını onaylı yansılara bağlayın, 'ödev' diye gelen kodu yalıtılmış bir ortamda çalıştırın, belirteçleri kısa ömürlü yapın. Binance'in yaptığı gibi, hasar oluştuktan sonra yeniden kurmak pahalı; önce kurmak çok daha ucuz.