Sahte iş görüşmesiyle Binance'e sızdılar: 6,3 milyar dolarlık vurgunun perde arkası

Dünyanın en büyük kripto para borsalarından Binance'i hedef alan ve 6,34 milyar dolarlık dijital varlığın etkilendiği siber saldırının başlangıcında, bir yazılım mühendisini hedef alan sahte iş görüşmesi bulunduğu ortaya çıktı.

Şirketin 3 Kasım'da yayımladığı ilk inceleme raporuna göre saldırganlar, gerçek bir iş arama platformu üzerinden iletişim kurdukları çalışanı, sahte bir şirketin işe alım sürecine dahil ederek kötü amaçlı yazılım indirmeye ikna etti.

Eylül ayında gerçekleşen olayda, kendisini proje yöneticisi olarak tanıtan bir kişi Binance çalışanına yeni bir iş fırsatı sundu. İlk aşamada insan kaynakları temsilcisi olduğunu söyleyen kişiyle görüntülü görüşme yapan mühendis, sonraki aşamada kendisini hayali şirketin üst yöneticisi olarak tanıtan başka biriyle görüştü. Güven oluşturmak amacıyla sahte işe alım sürecinde sosyal medya hesapları ve kişisel görüntüler de kullanıldı.

Görüşmelerin ardından çalışana teknik değerlendirme ve yazılım ödevi olduğu söylenen bir kod deposu gönderildi. Mühendisin iş bilgisayarına indirdiği dosyanın içine gizlenen zararlı yazılım, şirketin güvenlik sistemlerinin tespit edemediği gelişmiş yöntemlerle bilgisayara yerleşti. Böylece saldırganlar Binance'in kurumsal ağına giriş imkânı elde etti.

Saldırının temelleri aylar öncesinden atıldı

Binance'in raporuna göre saldırı yalnızca sahte iş görüşmesinden ibaret değildi. İlk sızma girişiminin izleri haziran ayına kadar uzanıyordu.

Bu dönemde cüzdan altyapısı ekibinde çalışan başka bir mühendis, yapay zekâ destekli bir kodlama aracını bilgisayarına kurmaya çalışırken değiştirilmiş bir Homebrew yazılım paketi indirdi. Saldırganların kötü amaçlı kod yerleştirdiği bu paket, şirketin sistemlerine yönelik ilk erişim noktalarından biri oldu.

Binance güvenlik ekibi şüpheli faaliyeti tespit ederek bilgisayarı değiştirdi ve ilgili erişim bilgilerini yeniledi. Ancak saldırganlar, çalışanın görev alanı ve birlikte çalıştığı ekip üyeleri hakkında bilgi edinmişti.

Eylül ayındaki sahte işe alım operasyonuyla ele geçirilen ikinci bilgisayar da bu süreçte saldırganların elini güçlendirdi.

Şirket içindeki yapay zekâ aracı saldırıda kullanıldı

Saldırganlar, 20 Ekim'de ele geçirdikleri bilgisayarı ve Binance'in şirket içinde kullandığı yapay zekâ aracını kullanarak cüzdan altyapısında görevli iki mühendisin bilgisayarlarına erişti.

Böylece dijital varlıkların yönetiminde kullanılan sistemlere ulaşan saldırganlar, çalışanların erişim yetkileri ve ele geçirilen kimlik bilgileri üzerinden hareket etti.

29 Ekim'de çalınan erişim bilgileri kullanılarak şirketin cüzdan işlemlerini imzalayan sistemine ulaşıldı ve kötü amaçlı bir komut dosyası çalıştırıldı. Bu yöntemle Binance'in internet bağlantılı sıcak cüzdanlarından milyarlarca dolarlık kripto varlık yetkisiz adreslere aktarıldı.

Şirketin verdiği bilgilere göre saldırganlar yalnızca dört dakika içinde beş farklı cüzdandan 233,46 milyon XRP transfer etti. Ardından Solana, Optimism ve Bitcoin ağlarındaki varlıklar da hedef alındı.

Binance olağan dışı transferleri fark ederek para çekme işlemlerini durdurdu. Ancak saldırganların Ethereum ağındaki EIP-7702 özelliğinden yararlanarak oluşturduğu yetkilendirme nedeniyle, para çekme işlemlerinin durdurulması transferleri hemen engellemeye yetmedi. Yetkisiz işlemler yaklaşık dört saat boyunca devam etti.

FBI Kuzey Kore'yi işaret etti

ABD Federal Soruşturma Bürosu (FBI), saldırının arkasında Kuzey Kore bağlantılı TraderTraitor adlı siber saldırı grubunun bulunduğunu değerlendirdi. Binance de ABD makamlarının elde ettiği bulguların bu ülkeyi işaret ettiğini bildirdi.

Kuzey Kore yönetimi ise suçlamaları reddederek Washington'ın iddialarını siyasi provokasyon olarak nitelendirdi.

Binance, 2026 yılı boyunca Kuzey Kore bağlantılı olduğu değerlendirilen 57 ayrı siber saldırı girişimini tespit ederek engellediğini de açıkladı. Şirket, bunlar arasında sahte iş görüşmeleri, zararlı yazılım paketleri ve çalışanları hedef alan sosyal mühendislik yöntemlerinin bulunduğunu belirtti.

Çalınan varlıkların yüzde 98'i yenilendi

Saldırının ardından kullanıcıların zarar görmesini önlemek amacıyla kendi kaynaklarını devreye sokan Binance, etkilenen varlıkların yaklaşık yüzde 98'ini yeniden karşıladığını duyurdu. Şirket ayrıca yaklaşık 2,85 milyar dolarlık varlığın sektör paydaşlarının desteğiyle dondurulduğunu veya ele geçirilmesinin önlendiğini bildirdi.

Güvenlik açığına neden olan sistemlerin yeniden oluşturulduğunu, etkilenen bilgisayarların değiştirildiğini ve ele geçirilen erişim bilgilerinin iptal edildiğini açıklayan şirket, bağımsız siber güvenlik uzmanlarıyla kapsamlı bir inceleme başlatacağını bildirdi.

Binance, yapay zekâ destekli tehdit tespit sistemlerine yatırımlarını artıracağını ve güvenlik alanında uzman şirketlerle iş birliğini genişleteceğini de kaydetti.