Ethereum (ETH) Cüzdan Güvenliği Kuzey Kore Saldırısında 1.640 Kurbanla Tehdit Altında

Kripto Haberleri

Ethereum (ETH) cüzdan anahtarları ve geliştirici kimlik bilgileri, Kuzey Kore bağlantılı geniş çaplı bir siber istihbarat operasyonunun hedefinde yer aldı. Las Vegas'taki Black Hat konferansında sunum yapan Yunan güvenlik araştırmacısı Vangelis Stykas, Kumio güvenlik firmasının teknoloji direktörü olarak, Kuzey Kore'ye ait komuta-kontrol sunucularına 22 ay boyunca sızdığını ve 57 ülkede faaliyet gösteren 1.640 mağdur kuruluş tespit ettiğini açıkladı. Bu rakam, saldırganların kendi kayıtlarından elde edildiği için dışarıdan yapılan tahminlere kıyasla olağanüstü bir kesinlik taşıyor. Stykas, yaklaşık beş terabaytlık materyal topladığını; bu veriler arasında geliştirici anahtarları, özel kaynak kodları, Slack ve Discord üzerindeki iç yazışmalar bulunduğunu belirtti. Araştırmacının değerlendirmesine göre 700 ila 800 kuruluş ciddi ihlallere maruz kaldı; yani saldırganlar kök sunucu erişimi, AWS yönetici kontrolü veya kripto para cüzdan anahtarları ele geçirdi. Bu erişim, Bitcoin'den bir borsanın, fonun veya geliştiricinin tuttuğu herhangi bir altcoin bakiyesine kadar tüm varlıkları risk altına sokuyor. Açıklama ayrıca büyük çaplı hırsızlıkların tek bir insan hatasından nasıl kaynaklanabildiğini de gözler önüne seriyor: saldırgan ayrıcalıklı bir cihazı ele geçirdiğinde, blokzincir katmanı güvenli kalsa bile saklama katmanı çökebiliyor. Ethereum özelinde endişe daha da artıyor çünkü akıllı sözleşme onayları, imzalama anahtarları ve altyapı hesapları temel protokol değiştirilmeden kötüye kullanılabiliyor. Bu hafta sunulan bulgular, tek seferlik bir sızıntıyı değil, uzun süreli bir istihbarat toplama operasyonunu tanımlıyor ve ele geçirilen veriler incelendikçe ek mağdurların keşfedilebileceğine işaret ediyor. Veri seti aynı zamanda ekiplerin araçlarını ve iletişimlerini içeriyor; bu da savunmacılara ihlallerin ilk girişten kalıcı kontrole nasıl dönüştüğüne dair nadir bir bakış sunuyor. Stykas, uyarılan birçok kuruluşun yanıt vermediğini, bu nedenle daha geniş topluluğun bireysel düzeltme yerine paylaşılan tehdit istihbaratına güvenmek zorunda kaldığını vurguladı. Bu durum, özellikle imzalama anahtarları veya bulut kimlik bilgileri tutan ekipler için aktif bir olay müdahalesi meselesi haline geliyor.

Açıklamanın ikinci katmanı yönteme odaklanıyor: yazılım açıkları yerine sahte iş teklifleri. Geliştiricilere kıdemli pozisyonlar ve cazip maaşlarla yaklaşıldı, ardından gizlice zararlı yazılım yükleyen ev ödevi kodlama testleri tamamlamaları istendi. Palo Alto Networks araştırmacıları bu kalıbı Kasım 2023'te Contagious Interview olarak adlandırdı; Microsoft ise daha sonra GitHub, GitLab ve Bitbucket'a yerleştirilen kötü amaçlı paketleri tanımladı. Bir geliştirici bu paketlerden birini Visual Studio Code içinde açtığında ve güven istemini kabul ettiğinde, editör saldırganların kodunu çalıştırdı. Oluşan arka kapılar API belirteçleri, bulut giriş bilgileri, imzalama anahtarları, cüzdan dosyaları ve şifre yöneticisi verilerini aradı. Bu tehdit Ethereum (ETH) için özellikle kritik çünkü ele geçirilmiş bir geliştirici hesabı veya imzalama ortamı, görünür bir protokol açığı olmadan işlemleri ve onayları yetkilendirebiliyor. Risk, standart bir borsa hesabından bir yapay zeka kripto cüzdanına veya algoritmik stablecoin altyapısına kadar her türlü saklama modelini kapsıyor. Tek bir taşeronun enfekte dizüstü bilgisayarı 30 şirkete kadar kimlik bilgilerini ifşa edebiliyor ve tek bir uç noktayı birden fazla giriş noktasına dönüştürebiliyor. Boston Çocuk Hastanesi, eski bir taşeronun kişisel cihazıyla ilişkilendirildi; ancak hastane kimlik bilgilerinin saatler içinde iptal edildiğini ve sistemlerinde giriş izi bulunmadığını açıkladı. Kripto sektöründe Coinbase ve Uniswap Labs, uyarı aldıktan sonra yanıt veren kuruluşlar arasında yer aldı. Consensys ayrıca yaklaşık bir ay boyunca MetaMask kodu üzerinde çalışan gizli bir Kuzey Koreli geliştirici tespit etti. Finansal boyut aciliyeti ortaya koyuyor: Kuzey Kore bağlantılı ekiplerin 2025'te kripto varlıklardan 2,02 milyar dolar çaldığı iddia ediliyor; bu, yıllık yüzde 51'lik bir artış anlamına geliyor. Nisan ayındaki 285 milyon dolarlık Drift Protocol kaybı, Kuzey Koreli aracılarla yapılan fiziksel toplantılarla ilişkilendirilirken, yalnızca iki olay 2026 kayıplarının yüzde 76'sını vakaların sadece yüzde 3'ünden üretti. Ülkenin 2017'den bu yana kümülatif hırsızlık rakamı 6 milyar doları aştı. Tehdit istihbaratı verileri, GOLDEN CHOLLIMA'yı fintech bulut ortamlarına ulaşmak için işe alım tuzaklarını kullanmakla işaretledi; bu da işe alım kontrollerinin artık bir güvenlik sınırı olduğunu gösteriyor.

COINOTAG'ın analizi her iki açıklamayı tek bir temaya bağlıyor: en zayıf katman blokzincirin kendisi değil, insan saklamasıdır. Zincir üstü hırsızlık kayıtları, defterde görülebilen 285 milyon dolarlık Drift Protocol boşaltılması dahil olmak üzere, ve olay sonrası yapılan açıklamalar sosyal mühendislik erişimine işaret ederken, kurumsal açıklamalar kimlik bilgisi iptali, içeriden tarama ve Crypto ISAC aracılığıyla tehdit istihbaratı paylaşımı yoluyla düzeltme yapıldığını gösteriyor. Ethereum (ETH), Bitcoin veya bağlantılı herhangi bir altcoin tutanlar için pratik ders, imzalama ortamlarının daha katı ayrılması ve işe alım bağlantılı kodların doğrulanmasıdır. Birincil kanıtlar bir protokol hatasına işaret etmiyor; ele geçirilmiş insanlara ve cihazlara işaret ediyor. Piyasalar tüm zamanların en yüksek seviyesinden uzak olsa bile, operasyonel güvenlik belirleyici risk kontrolü olmaya devam ediyor.