CERT-In Uyardı: Yapay Zeka Destekli Hackerlar Borsa Cüzdan Anahtarlarını Çaldı

Kritik Uyarı Kripto Borsalarını da Kapsıyor

Hindistan'ın ulusal siber güvenlik kurumu, kripto para cüzdan anahtarlarını çalarak borsalardan ve finans kuruluşlarından fon boşaltan yapay zeka destekli bir hacker grubuna karşı yanıtını yükseltti. Hindistan Bilgisayar Acil Durum Müdahale Ekibi (CERT-In), CRAFTY FALCON adıyla izlenen gruba ilişkin uyarısını kritik olarak sınıflandırdı ve 4 Kasım'da yayımladı; belge, ekibin Ekim ayında ilk kez işaret ettiği kampanyanın güncellenmiş hali. Uyarı, hedef listesine açık biçimde kripto borsalarını ve sanal varlık hizmet sağlayıcılarını da ekliyor; listede daha önce banka dışı borç verenler, dijital kredi platformları, fintech şirketleri, ödeme toplayıcıları ve hizmet sağlayıcıları yer alıyordu. Resmi uyarıya göre tehdit aktif ve sürüyor; kurumun finans sektörü birimi CSIRT-Fin başarılı saldırı bildirimleri almaya devam ediyor. Şaşırtıcı olan ise bildirimlerin, daha önce kısıtlı uyarı almış ve düzeltme adımlarını tamamlamış kuruluşlardan da gelmesi. Belge, saldırganın "hedeflerini makine zekâsıyla taradığını" ve kurbanın kendi ödeme ile dağıtım API'leri üzerinden transferleri tetikleyerek harekete geçtiğini anlatıyor. Saldırı zinciri, açığı bulunan uygulamaların ve dışarı açık test ortamlarının istismarıyla başlıyor. Paylaşılan kimlik bilgileri ve erişim tokenları sonrası saldırganları üretim sistemlerine taşıyor; bulut altyapısı ise zararlı dosyaların dağıtımında kullanılıyor. İçeri giren grup, uygulama kodunu tersine mühendislikle çözümleyerek özel istismar kodları üretiyor ve platformun sakladığı fonları koruyan cüzdan anahtarlarını çalıyor, ardından bakiyeleri dijital cüzdanlardan dışarı taşıyor. Bu anahtarlar, saklamalı (custodial) kurulumların arkasındaki kök kimlik bilgileri; tek bir seed ifadesinden pek çok adres türeten HD cüzdan yapıları da buna dahil. Uyarı etkilenen bir borsa ismi vermiyor ve zarar büyüklüğüne dair rakam paylaşmıyor. Dışarıdan doğrulama ise mevcut: Ekim'de siber güvenlik şirketi CrowdStrike, kimliği belirsiz bir saldırganın Güney Kore'deki finans kuruluşlarına karşı uyarıda da adı geçen yapay zeka sızma testi aracı ARTEX'i, Claude Code ve diğer modellerle birlikte kullandığını bildirmişti.

Tek Rupiyalık Test Ödemeleri ve Yapay Zeka Araçları

CRAFTY FALCON'un oyun kitabının merkezinde küçük doğrulama ödemeleri, herkese açık yapay zeka araçları ve tatil zamanlaması yer alıyor. Daha büyük yetkisiz aktarımlardan önce saldırganlar, kurbanın ödeme API'leri üzerinden bir aktarım yolunun çalıştığını doğrulamak için deneme ödemeleri gönderiyor; bazı durumlarda bu tutar yalnızca 1 rupi. Kurum, saldırılarda herkese açık yapay zeka araçlarının kullanıldığını tespit etti ve PentAGI ile CyberStrikeAI isimlerini verdi. Bu araçların kendi başlarına eksiksiz saldırı zincirleri yürüttüğü ve hedefler tepki verdikçe yükleri uyarladığı belirtiliyor. Zamanlama da kasıtlı: baskınlar, izleme kadrosunun ince olduğu hafta sonları ve tatillere denk getirildi. Grup, önceki kısıtlı uyarılar üzerine harekete geçmiş banka dışı finans şirketlerine ve fintech'lere yeniden döndü. Uyarı Diwali'yi anmıyor; ancak bayram 8 Kasım Pazar gününe denk geliyor ve bu da tatil ile hafta sonunu birleştiren bir gözetim boşluğu yaratıyor. CERT-In, bu tür zaman aralıklarında şirketlerin personel sayısını artırmasını ve uyarı eşiklerini düşürmesini istiyor. Önerilen kontroller somut: cüzdan anahtarları donanım güvenlik modüllerinde veya soğuk depoda tutulmalı, kripto para çekimleri çoklu imza onayı gerektirmeli ve yeni eklenen alıcılar için bekleme süreleri tüm ödeme sistemlerinde uygulanmalı. Bu kontroller, fonlar hareket etmeden önce insan onayı devreye sokuyor; yani bazı meşru çekim ve ödemeler yavaşlayabilir. Zarar geçmişi, başarılı bir boşaltmanın pratikte ne anlama geldiğini gösteriyor. Temmuz 2024'te siber saldırganlar, Hindistan merkezli WazirX borsasından 230 milyon dolardan fazla para aldı. Platform, Singapur mahkemesinin onayladığı bir yeniden yapılandırma kapsamında Ekim 2025'te yeniden faaliyete geçti ve hak sahibi kullanıcılar onaylanan taleplerinin yaklaşık yüzde 85'ini aldı. Buna karşılık Binance, 29 Ekim'de 6,3 milyar dolarlık zararının yaklaşık yüzde 95'ini kendi rezervlerinden karşıladığını açıkladı. Tam uzlaşma göstergeleri ise yalnızca finans kuruluşlarıyla paylaşıldı, uyarının kısıtlı versiyonunda; yani kamuya açık belge, başarılı ihlallerin kapsamını belirsiz bırakıyor. Etkilenen borç verenlerin veya borsaların yapacağı açıklamalar bu soruyu netleştirecek.

Kripto borsalarının açıkça isimlendirilmesi, fintech uyarısı olarak başlayan süreci Hindistan'daki platformlar için bir saklama testine çeviriyor. Buna, müşteri anahtarlarını günde 24 saat elinde tutan spot işlem alanları da dahil. Uyarıdaki kontrol listesi, donanım güvenlik modülleri, çoklu imzalı çekimler ve yeni alıcılar için bekleme süreleri, şirketler uyum sağladığında daha yavaş ama daha iyi denetlenen ödeme akışlarına işaret ediyor. Bir boşaltmanın yükünü kimin üstlendiği bilançoya bağlı: WazirX'in yeniden yapılandırması ile Binance'in rezerv dayanağı, sektör için birbirinden çok farklı iki telafi şablonu ortaya koyuyor. Uyarı, aklama yolları konusunda sessiz ve fonların bir kripto mikseri üzerinden geçip geçmediğine dair bir bilgi vermiyor; etkilenen şirketlerin açıklamaları, kampanyanın gerçek maliyetini ortaya çıkaracak.