Binance Hırsızlığı Bir İş Görüşmesiyle Başladı: Bedeli Erişim Belirledi

Eylül ayında bir Binance yazılım mühendisi, aslında var olmayan bir şirketle iki iş görüşmesine katıldı. İlk görüşme, gerçek biri olduğunu kanıtlamak için fotoğraf ve videoların da bulunduğu kişisel sosyal medya hesabını paylaşan bir İK temsilcisiyle canlı görüntülü görüşmeydi. İkinci görüşme, kendisini CEO olarak tanıtan biriyle bir sohbet uygulamasında yapıldı. Görüşmenin sonlarına doğru mühendisten, iş bilgisayarına bir kodlama ödevi indirmesi istendi.

29 Ekim’de saldırganlar, Binance cüzdanlarından yaklaşık 6,34 milyar dolar çıkardı; bunun büyük bölümü yaklaşık 20 dakika içinde gerçekleşti. FBI, hırsızlığın sorumluluğunu TraderTraitor adlı Kuzey Koreli gruba yükledi. Bu grup, Bybit’in Şubat 2025’te uğradığı 1,5 milyar dolarlık hırsızlıktan da sorumlu tutuluyor. Bu, kayıtlara geçen en büyük kripto para hırsızlığı.

Binance sorumluluğu kabul etti ve kayıpları karşılayacağını açıkladı. 3 Kasım itibarıyla şirket, etkilenen token varlıklarının %98’inin yerine konduğunu ve yaklaşık 2,85 milyar doların dondurulduğunu ya da ele geçirilmesinin önlendiğini bildirdi.

Sorulması gereken soru şu: Ele geçirilmiş tek bir dizüstü bilgisayar nelere erişebilir ve her ekip bunu bugün kendi ortamında test edebilir mi?

İki Giriş Noktası ve Haziran’dan Ekim’e Uzanan Bir Kampanya

Binance’ın 3 Kasım tarihli güncellemesinde deepfake’lere veya yapay zekâ destekli başka tekniklere işaret eden hiçbir şey yok. Her iki saldırı yolu da insanlardan geçiyordu: Biri arama sonucuna, diğeri ise işe alım uzmanına güvenen iki mühendis.

Kampanya en az beş ay sürdü. Haziran ayında, yapay zekâ destekli bir kodlama aracı arayan bir cüzdan DevOps mühendisi, değiştirilmiş bir Homebrew yükleyicisi indirdi. Binance’ın güvenlik ekibi olağan dışı durumu fark etti, cihazı değiştirdi ve kimlik bilgilerini yeniledi. Ancak o zamana kadar saldırganlar, cüzdan altyapısı ekibinde kimlerin bulunduğunu öğrenmişti.

Üç ay sonra, bu kez farklı bir yoldan geri geldiler. Eylül ayında kendisine ulaşılmış olan mühendisin, Binance’daki deneyiminden söz ettiği bir profili meşru bir iş arama platformunda bulunuyordu. Kodlama ödevi, kurulum sırasında çalışan bir kötü amaçlı yazılım içeriyordu. Bu yazılım, pyenv’in meşru bir bileşenini kötü amaçlı bir bileşenle değiştirdi, saldırganların kontrolündeki bir sunucuya bağlandı ve izlerini sildi. Binance, uç nokta korumasının bunu tespit edemediğini söylüyor.

20 Ekim’de saldırganlar, bu dizüstü bilgisayarı ve kurum içi bir yapay zekâ aracını kullanarak iki mühendisin daha makinelerinin kontrolünü ele geçirdi; bu makinelerden biri, haziran ayında ele geçirilmiş olan DevOps mühendisine aitti. Bu makinede, konteyner dağıtım izinlerine sahip bir belirteç buldular. 29 Ekim’de diğer mühendisin bilgisayarına giriş yaptılar, çalınan kimlik bilgilerini kullanarak bir konteyner dağıttılar ve hırsızlığı başlatan betiği çalıştırdılar.

İşe Alım Uzmanlarının Tuzakları Neden Hâlâ İşe Yarıyor?

Sahte işe alım uzmanları ve zararlı yazılım içeren kodlama testleri eski bir yöntem. Kuzey Koreli operatörler bu yöntemi yıllardır geliştiricilere karşı kullanıyor; en bilinen örneklerden biri Contagious Interview adıyla bilinen kampanya. Binance, yalnızca 2026’da Kuzey Kore bağlantısından şüphelenilen 57 girişimi durdurduğunu söylüyor.

Bu tuzak işe yarıyor, çünkü mühendislere her gün yaptıkları bir şeyi yaptırıyor. Tanımadığınız bir kod deposunu çalıştırmak, teknik iş görüşmelerinin olağan bir parçası. Şüpheli bir gönderen adresi ya da üzerine gelince kontrol edebileceğiniz bir bağlantı yok; yalnızca makul görünen bir işveren, görüntülü görüşmedeki bir kişi ve iş gibi görünen bir görev var.

İşe alım uzmanlarının mesajları, insanların hoş karşıladığı az sayıdaki istenmeyen iletişim türünden biri. Hiçbir farkındalık programı, her mühendisin ikna edici görünen her tuzağı fark edeceğini garanti edemez. Bu nedenle güvenlik önlemleri, böyle bir tuzağın mutlaka aşılacağını varsaymalı.

Tek Bir Dizüstü Bilgisayar Cüzdanlara Nasıl Ulaştı?

İlk sorum, bu mühendisin çalışma ortamındaki güvenlik önlemleriyle ilgili. Harici bir kodlama değerlendirmesi için iş bilgisayarı kullanılması sorgulanmalı. Daha büyük kaygı ise bu tek güvenlik ihlalinin başka sistemlere ve sonunda hassas finansal altyapıya erişimi nasıl mümkün kıldığı.

İlk bulaşmadan sonraki her adım, Binance içinde zaten var olan güvene dayanıyordu. Kurum içi bir yapay zekâ aracı, ele geçirilmiş bir makineden gelen talimatları kabul ederek bunları iş arkadaşlarının cihazlarına yöneltti. Bir mühendisin dizüstü bilgisayarında dağıtım belirteci bulunuyordu. Geçerli kimlik bilgileriyle yapılan bir konteyner dağıtımı milyarlarca doları harekete geçirdi. Bunların hiçbiri için başka bir tuzağa gerek olmadı.

Kurum içi yapay zekâ araçlarına özellikle dikkat edilmeli. Bu araçlar genellikle kod depoları, uç noktalar ve hizmetler genelinde geniş izinlerle çalışıyor. Dolayısıyla böyle bir araca talimat verebilen bir makineyi kontrol eden kişi, o aracın erişim alanına da sahip oluyor.

Mühendisliği Aksatmadan Geliştiricileri Korumak

Geliştiricilerin paket indirmesi, tanımadıkları kodları çalıştırması ve yazılımları test etmesi gerekir. Dizüstü bilgisayarlarını bir finans çalışanının iş istasyonu kadar sıkı kısıtlamak, mühendisliği durma noktasına getirir ve mühendisleri geçici çözümlere yöneltir. İş arama faaliyetlerinin kurumsal cihazlarda yapılmasını yasaklayan bir politika makuldür, ancak hiç kimse bu politikaya her zaman uymaz. Uygulanabilir hedef, ele geçirilmiş bir geliştirici makinesinin bir sonraki adımda yapabileceklerini sınırlamaktır.

En büyük farkı birkaç kontrol yaratır. Güvenilmeyen kod, kurumsal kimlik bilgilerine erişimi olmayan, kullanımdan sonra atılabilen sanal makinelerde çalıştırılmalıdır. Dağıtım kimlik bilgileri mümkün olduğunca kısa süreli olmalı, dar kapsamlı yetkiler vermeli ve denetimli dağıtım iş akışları için düzenlenmelidir. Cüzdan imzalama anahtarları veya anahtar payları, geliştiricilerin iş istasyonlarından ayrı biçimde korunmalı; imzalama politikaları, hangi işlemlerin ve yetkilendirmelerin onaylanabileceğini kısıtlamalıdır. Cüzdan, ödeme veya üretim sistemlerini etkileyen işlemler için ayrı bir cihaz kullanan ikinci bir kişinin onayı alınmalıdır. Kurum içi yapay zekâ araçları asgari yetkilerle çalışmalı ve yaptıkları işlemleri kaydetmelidir.

Kimlik bilgileri meşru olduğunda da tespit mekanizmaları çalışmalıdır. Beklenmeyen bir makineden veya beklenmeyen bir saatte yapılan dağıtımları işaretleyen davranış izleme sistemi, tüm kimlik bilgileri doğrulamadan geçtiğinde bile ekibe müdahale etme fırsatı verir. Binance, olaydan bu yana bu tür tespit mekanizmalarını geliştirdiğini söylüyor.

Tehdit İstihbaratının Rolü

Hırsızlıktan altı hafta önce uyarı kamuoyuyla paylaşılmıştı. Contagious Interview hakkındaki ortak uyarıda, operatörlerin işe alım uzmanı kılığına girerek yapay zekâ, kripto ve NFT şirketlerini temsil ettiklerini öne sürdükleri; BT profesyonellerini hedef alıp kripto para çaldıkları anlatılıyordu. Binance vakasında da aynı yöntem izlendi.

Tehdit istihbaratının bu tür kampanyalarda somut bir rolü vardır. Saldırganlar değişebilir, ancak kullandıkları taktikler biliniyor. Saldırganları takip eden ekipler, bilinen altyapıyı engelleyebilir ve mühendisleri şu anda kullanılan bahaneler konusunda uyarabilir.

İstihbarat, ekibin kimlerin daha fazla korunması gerektiğini belirlemesine de yardımcı olur. Binance’ın haziran ayındaki ihlalinde olduğu gibi, bir olay hassas erişime sahip kişileri ortaya çıkardığında, bu kişiler aylar boyunca olası hedefler olarak görülmeli; cihazları ve aldıkları temaslar daha yakından izlenmelidir.

Kripto Dünyasının Ötesi İçin Anlamı

Çalınan fonlar hızla aktarılabildiği ve geri alınmaları zor olduğu için kripto borsaları bariz bir hedeftir. Aynı örüntü, ister bir bankanın ödeme işlem hattı ister bir yazılım tedarikçisinin derleme ve sürüm yayımlama süreci olsun, bir geliştiricinin iş istasyonunun kritik sistemlere yalnızca birkaç adım uzaklıkta bulunduğu her yerde görülür. İşe alım bahanesiyle kurulan tuzaklar, bu kuruluşların tümündeki mühendislere ulaşır.

Bu hafta kendi ortamlarını gözden geçiren güvenlik yöneticileri için en önemli iki kontrol var. İlk olarak, tek bir ele geçirilmiş geliştirici dizüstü bilgisayarının bugün neleri etkileyebileceğini; depolanan belirteçler, SSH anahtarları, bulut kimlik bilgileri ve kurum içi yapay zekâ araçları dâhil olmak üzere haritalandırın. İkinci olarak, üretim ortamına yapılan dağıtımlar ve yüksek değerli işlemler için tek bir ele geçirilmiş kimliğin sağlayamayacağı bağımsız bir onayın gerektiğini doğrulayın.

Binance, etkilenen sistemleri yeniden kurdu ve kayıptan sonra alınan kararlar doğrultusunda bağımsız incelemecilerden destek aldı. Aynı çalışmayı şimdi yapan kuruluşlar ise bu kararları kendi takvimlerine göre alabilir.