Kuzey Koreli hackerlar, kripto şirketlerini hedefleyerek IT adayları, tedarikçiler veya müşteriler gibi görünüp sahte CV’ler, zararlı “güncelleme” dosyaları ve rüşvet yöntemiyle içeriye sızıyor. Kripto şirketleri işe alımlarda daha sıkı inceleme yapmalı, ayrıcalıklı sistem erişimlerini kısıtlamalı ve personeli, istenmeyen dosya indirmeleri ile linklere karşı bilinçlendirmeli.
-
Kimlik taklidi yöntemi: sahte IT adayları, kurmaca mülakatlar ve zararlı güncelleme linkleri
-
Güvenlik ekipleri aday taramalarını sıkılaştırmalı ve ayrıcalıklı erişimleri sınırlandırmalı.
-
Chainalysis, 2024 yılında Kuzey Kore bağlantılı kripto hırsızlıklarında %102 artış bildirdi.
Kuzey Koreli hackerlar, kripto şirketlerine sızmak için işe alım ve destek süreçlerini kullanıyorlar—COINOTAG’den hemen uygulanabilecek önlemler ve uzman önerilerini okuyun.
Kuzey Koreli hackerlar kripto şirketlerine nasıl sızıyor?
Kuzey Koreli hackerlar, artık kripto şirketlerine sızmak için iş başvurusu yapan, tedarikçi veya kullanıcı gibi davranarak “ayaklarını kapıya sokuyor.” Binance’in kurucu ortağı Changpeng Zhao ve beyaz şapkalı araştırmacılara göre; işe alım, uzaktan mülakatlar ve müşteri destek süreçlerini kötü niyetli yazılım yaymak, ayrıcalıklı erişim istemek veya içerden rüşvet yoluyla bilgi almak için kullanıyorlar.
Kaynak: Changpeng Zhao
Changpeng Zhao ve etik hackerlar tehdidi nasıl tanımladı?
Zhao, X (Twitter)’da saldırganların işe alım ve mülakatlarda çalışan veya işveren kılığına girerek sahte “güncellemeler” ya da örnek kodlarla zararlı yazılım yaydığını belirtti. Security Alliance (SEAL) etik hackerları ise kimlik taklitçilerin profillerini çıkararak platformlara adayları daha sıkı inceleme, istenmeyen dosya indirmemek ve tedarikçi kontrollerini artırma tavsiyesi verdi.
Güvenlik bulgularına göre, Kuzey Koreli ajanlar destek kanalları üzerinden zararlı linkler gönderiyor, adaylardan sonradan arka kapı barındıran “örnek kod” talep ediyor ve bazen çalışanları veya dış tedarikçileri rüşvetle etkileyerek veri erişimi sağlama girişiminde bulunuyor.
Security Alliance 60 taklitçiyi nasıl ortaya çıkardı?
Security Alliance (SEAL), takma adlar, sahte kimlikler ve e-posta adresleri kullanan en az 60 Kuzey Koreli taklitçi profili oluşturdu. Bu kayıtlar vatandaşlık beyanları, GitHub ve maaş bilgileri, işe alım geçmişleri ve kamuya açık bağlantılarla şüpheli adayları tespit etmeye yardımcı oluyor.
Sağda Brian Armstrong, Cheeky Pint podcast’inde. Kaynak: YouTube
Geçen ay Coinbase de benzer tehdit artışlarını raporladı. Coinbase CEO’su Brian Armstrong’a göre, yanıt olarak şirket yüz yüze eğitim, sadece ABD vatandaşlığı koşulu ve ayrıcalıklı rollerde parmak izi tanıma gibi katı iç prosedürler getirdi.
SEAL ekibinin 60 Kuzey Koreli IT çalışanı taklitçisi listesi. Kaynak: lazarus.group/team
SEAL’in kamuya açık arşivi, takma adlar, sahte e-postalar ve taklitçiler tarafından işe alınan şirketler ile gözlemlenebilir GitHub hesapları ve diğer dijital izleri içeriyor. Beyaz şapkalı grup, bu tür işe alım dolandırıcılıklarını belgeleyip bozmak ve hedef şirketlere destek vermek için kuruldu.
SEAL ekibinin Kuzey Koreli IT taklitçisi ‘Kazune Takeda’ profili. Kaynak: lazarus.group/team
Tarihsel bağlamda, Lazarus Grubu gibi Kuzey Kore kaynaklı aktörler yüksek meblağlı kripto soygunlarının baş şüphelileri arasında, örneğin 1,4 milyar dolar değerindeki Bybit saldırısı. Chainalysis verilerine göre 2024’te Kuzey Kore bağlantılı hırsızlıklar 47 olayda 1,34 milyar doları aşarak 2023’e göre %102 artış gösterdi.
SEAL Beyaz Şapka Güvenli Liman Anlaşması. Kaynak: Security Alliance
Sıkça Sorulan Sorular
İşe alım ekipleri adaylarda kimlik taklitçisini nasıl tespit eder?
Kişisel bilgileri birden çok kaynaktan doğrulayın, yüz yüze veya güvenli video görüşmeleri yapın, iş geçmişlerini teyit edin, kamuya açık kod depolarını detaylı inceleyin ve e-posta domainleri ile vatandaşlık iddialarını çapraz kontrol edin.
Zararlı “örnek kod” tesliminde ne tür işaretlere dikkat edilmeli?
Şüpheli karışık/şifrelenmiş kod, beklenmedik ağ çağrıları, gizli dosya blokları veya yüksek ayrıcalık istekleri aranmalı. Her kod parçası otomatik statik analiz ve sandbox ortamında incelenmeden geliştiriciler tarafından çalıştırılmamalı.
Bu tehdit ne kadar yaygın?
Chainalysis verileri, 2024’te Kuzey Kore bağlantılı kripto hırsızlıklarının ciddi şekilde arttığını ve 47 olayda 1,34 milyar doların çalındığını gösteriyor. Bu da operasyonel büyüklüğün ve hedef alınan firmalardaki kalıcılığın arttığı anlamına geliyor.
Kripto şirketleri kimlik taklidi ve içerden erişime karşı nasıl korunabilir?
Katmanlı savunmalar uygulayın: titiz aday incelemesi, en az ayrıcalıklı erişim, geliştirici sandbox’ları ve zorunlu güvenlik eğitimleri, kimlik bilgisi ve içerden saldırı riskini düşürür.
- Adayları sıkı inceleyin: kimlikler, referanslar ve kamu kod kayıtları doğrulansın.
- Öncelikli erişimleri sınırlandırın: kritik sistemler için en az ayrıcalık, MFA ve rol bazlı kontroller uygulayın.
- Personeli eğitin ve test edin: oltalama simülasyonları, dosya işlem protokolleri ve güvenlik ihbar süreçleri.
Önemli Noktalar
- Kimlik taklidi artıyor: Kuzey Koreli aktörler işe alım ve destek kanallarını kullanarak kripto firmalarına sızıyor.
- Pratik savunmalar: Sıkı inceleme, erişim kontrolü ve sandboxing riskleri azaltıyor.
- Beyaz şapka müdahalesi: SEAL’in arşivi ve araştırmaları firmalara taklitçileri tanımlama ve önleme imkanı sağlıyor.
Sonuç
Kuzey Koreli hackerlar kripto şirketlerinde işe alım ve destek süreçlerini kötüye kullanarak içeriden erişim sağlamaya çalışıyor. Şirketler derhal aday incelemelerini sıkılaştırmalı, ayrıcalıklı erişimleri azaltmalı, dış kodları sandbox ortamında çalıştırmalı ve personeli istenmeyen dosya indirmemeleri konusunda eğitmeli. Beyaz şapka ekipleri ve kolluk kuvvetleriyle iş birliği devam ettikçe, kayıplar azaltılabilir.
