Kuzey Kore Bağlantılı Hackerlar 1.640 Şirketi Hedef Aldı, Bitcoin Güvenlik Uyarısı Yayınlandı

Kripto Haberleri

Bitcoin (BTC) saklama altyapısı ve genel kripto ekosistemi, 22 ay süren bir soruşturmanın ardından ciddi bir güvenlik tehdidiyle karşı karşıya. Kuzey Kore bağlantılı saldırganlar, 57 ülkede faaliyet gösteren 1.640 şirkete sahte iş görüşmeleri yoluyla sızmayı başardı. Siber güvenlik şirketi Kumio'nun baş teknoloji sorumlusu Vangelis Stykas tarafından yürütülen araştırma, saldırganların geliştiricilere ve uzaktan çalışan teknoloji taşeronlarına gerçekçi iş teklifleri, teknik testler ve örnek projeler gönderdiğini ortaya koydu. Gönderilen dosyalar açıldığında veya çalıştırıldığında, zararlı yazılım hedef sisteme ilk erişimini sağlıyordu. Bu operasyon sıradan bir oltalama (phishing) saldırısı değildi; işe alım sürecine duyulan güveni istismar eden odaklanmış bir sosyal mühendislik kampanyasıydı. Saldırganlar sisteme girdikten sonra dijital varlık ekipleri için en kritik kimlik bilgilerine yöneldi: sunucu yönetici erişimleri, Amazon Web Services izinleri ve Bitcoin (BTC), bir altcoin veya bir yapay zeka kripto cüzdanı kurulumunu kontrol eden özel anahtarlar (private key). Soruşturma, yaklaşık 700 ila 800 organizasyonun ciddi düzeyde tehlikeye atıldığını belirledi. Bu kurumlarda saldırganlar sistemler arasında hareket edebiliyor, bulut altyapısını inceleyebiliyor ve potansiyel olarak fonları yönlendirebiliyordu. Bitcoin (BTC) özelinde risk özellikle acımasız çünkü işlemler onaylandıktan sonra geri alınamıyor. Bir özel anahtar ele geçirildiğinde, ilişkili coinler herhangi bir başvuru yolu olmaksızın transfer edilebiliyor. Bu durum, önleyici saklama kontrollerini reaktif kurtarma yöntemlerinden çok daha önemli kılıyor. Bulgular ayrıca taşeronlara verilen aşırı izinlerin tekrarlayan bir zafiyet olduğunu gösterdi. Harici geliştiriciler sıklıkla görevlerinin gerektirdiğinden daha geniş erişim haklarına sahipti ve bu da tek bir enfekte hesabın kritik sistemlere giden bir yol haline gelmesine olanak tanıyordu. Profesyonel ağ mesajları, kod deposu davetiyeleri ve mülakat dosyaları gibi işe alım kanalları güvenilmeyen girdi olarak ele alınmalı. Şirketler çok faktörlü kimlik doğrulama (multi-factor authentication) uygulamalı, taşeron makinelerini üretim ortamından ayırmalı ve anahtarlara veya bulut rollerine erişim vermeden önce düzenli izin denetimleri yapmalı.

Black Hat konferansındaki açıklama, ticari yapay zeka araçlarının daha az deneyimli saldırganlar için giriş bariyerini nasıl düşürdüğünü göstererek ikinci bir endişe katmanı ekledi. Stykas, saldırganların yanlışlıkla kendi sistemlerinden birini enfekte etmesi sayesinde operasyonu inceleme fırsatı bulduğunu belirtti. Bu kaza, araştırmacıya saldırganların komuta-kontrol sunucularına, özel Slack ve Discord kanallarına ve yaklaşık beş terabaytlık dahili materyale erişim sağladı. Bu bakış açısı, grubun kötü amaçlı kod yazmak, sahte işe alım sitelerini cilalamak ve saldırı döngüsünün bazı bölümlerini otomatikleştirmek için ana akım yapay zeka hizmetlerini kullandığını ortaya çıkardı — tıpkı bir yapay zeka ticaret botunun piyasa kararlarını otomatikleştirmesi gibi. Kötü amaçlı koda gömülü İngilizce yorumlar ve emojiler gibi görünür izler, üretilmiş metne işaret ediyordu. UNC2970 olarak bilinen küme üzerinde yapılan ayrı tehdit istihbarat çalışması, hedefleri araştırmak ve savunma ile teknoloji sektörlerindeki yüksek maaşlı pozisyonları belirlemek için Gemini'nin kullanıldığını tanımladı. Etkilenenler listesi önde gelen kripto isimlerini de içeriyordu. Coinbase, konunun bir taşeronla ilgili olduğunu, 30 gün içinde soruşturulup sonlandırıldığını ve müşteri verilerinin tehlikeye atılmadığını açıkladı. Uniswap Labs da listeye giren isimler arasındaydı. Boston Çocuk Hastanesi ise sorunun eski bir taşeronun kişisel cihazıyla ilgili olduğunu, hastanenin çekirdek sistemlerinin etkilenmediğini bildirdi. Serbest çalışma modeli hasarı büyüttü: birden fazla müşteri için çalışan tek bir geliştirici, birçok organizasyon için tek bir hata noktası haline gelebiliyordu. Araştırmacı, ele geçirilen makineleri aracılığıyla istemeden aynı anda 30 şirkete kadar erişim sağlayan kişileri tespit etti. Bulgularla birlikte sunulan zincir üstü analizler, Nisan ayında Kuzey Kore bağlantılı aktörlerin iki büyük hırsızlıkta çalınan kripto değerinin yaklaşık yüzde 76'sından sorumlu olduğunu tahmin ediyordu; bu da yaklaşık 577 milyon dolara karşılık geliyor. 2017'den bu yana Kuzey Kore'nin kripto operasyonlarına atfedilen kümülatif hırsızlık miktarının 6 milyar doları aştığı tahmin ediliyor. Bu rakamlar, olayı tek bir araştırma uyarısından çıkarıp Bitcoin (BTC), altcoin veya stablecoin envanteri tutan her ekip için yapısal bir uyarıya dönüştürüyor.

COINOTAG'ın değerlendirmesine göre kök neden, Bitcoin (BTC) veya herhangi bir temel blokzincir protokolündeki bir kusur değil, kimlik ve erişim yönetimi başarısızlığıdır. Mevcut en yakın olay sonrası analiz, etkilenen şirketlerin olay açıklamaları ve zincir üstü analizlerden oluşuyor; protokol düzeyinde bir açıklama bulunmuyor. Bu araştırmada herhangi bir saldırgan işlem karması (transaction hash) veya boşaltılan adres dökümü yayınlanmadı, bu da kesin fon takibini sınırlıyor. Piyasalar tüm zamanların en yüksek seviyesini kovalamasa bile saklama hijyeni belirleyici değişken olmaya devam ediyor. Düzeltme yolu net: işe alım dosyalarını güvenilmeyen girdi olarak ele almak, en az ayrıcalık ilkesini uygulamak, taşeron uç noktalarını ayırmak, çok faktörlü kimlik doğrulama zorunlu kılmak ve anahtar erişim olaylarını sürekli denetlemek. Geri dönüşü olmayan mutabakat yapısı, kurtarma değil önlemenin tek güvenilir savunma olmaya devam ettiği anlamına geliyor.