Drift Protocol Hack Saldırısı: 6 Aya Yayılan Organize Sosyal Mühendislik Operasyonu Ortaya Çıktı

드리프트 프로토콜(Drift Protocol), geçen hafta yaşanan yaklaşık 280 milyon dolarlık ‘hack’ saldırısıyla ilgili yeni detaylar paylaştı. Platform, olayın basit bir ‘açık’ istismarı olmadığını, ‘6 aya yayılan organize bir saldırı’ sonucu gerçekleştiğini savunuyor. Anlatılanlara göre süreç, çevrimdışı temaslar ve ‘zararlı link’ kombinasyonuna dayanan uzun soluklu bir sızma operasyonu şeklinde ilerledi.

Drift, 4’ünde X’te(eskiden Twitter) yayınladığı ön inceleme notunda, saldırıyı “örgütsel destek, ciddi kaynak ve aylar süren planlama gerektiren yapılandırılmış bir bilgi operasyonu” olarak tanımladı. Şirketin iddiasına göre hazırlıklar 2024’ün Ekim ayı civarında başladı. Saldırganlar, kendilerini ‘nicel kripto trading şirketi’ olarak tanıtarak ‘büyük kripto konferansları’nda Drift ekibiyle yüz yüze temas kurdu.

Bu ilk temastan sonra saldırganlar yaklaşık 6 ay boyunca farklı sektör etkinliklerinde ekiple tekrar tekrar görüşerek güven kazandı. Drift’in paylaştığı bulgulara göre belirli katkı sağlayan kişiler ‘bilinçli şekilde’ hedef alındı ve uzun süre izlendi. Şirket, bu kişilerin hem teknik açıdan yetkin göründüğünü hem de iş geçmişlerinin yüzeysel bir kontrolde ‘gerçekçi’ durduğunu belirterek “Drift’in operasyonel işleyişine de oldukça hâkimlerdi” ifadesini kullandı.

Güven ilişkisi kurulduktan sonra saldırganlar, paylaşılan ‘zararlı link’ ve araçlar üzerinden bazı ekip üyelerinin cihazlarını ele geçirdi. Drift, bu aşamadan sonra ‘exploit’ çalıştırıldığını, ardından izlerin hızlıca silindiğini aktardı. Şirkete göre bu olay, kripto sektöründeki katılımcıların fiziksel etkinlik ve yüz yüze görüşmelerde bile ‘güvenlik bariyerini’ düşürmemesi gerektiğine dair somut bir uyarı niteliği taşıyor.

Drift ayrıca saldırının, 2024 Ekim’inde gerçekleşen Radiant Capital(RDNT) hack’iyle de bağlantılı olabileceğini düşünüyor. Şirket, iki olay arasında ‘orta-yüksek güven seviyesinde’ ilişki kurulabileceğini belirtti. Radiant Capital tarafında da o dönemde saldırının başlangıç noktasının Telegram üzerinden iletilen zararlı yazılım olduğu açıklanmıştı. Drift, sahada temas kuran kişilerin ‘Kuzey Kore vatandaşı olmadığına’ kanaat getirdiklerini, ancak Kuzey Kore bağlantılı hacker gruplarının çoğu zaman ‘ilk fiziksel teması’ üçüncü taraflar üzerinden yaptığının bilindiğini hatırlattı.

Drift, 1 Nisan’daki saldırının tüm boyutlarını ortaya çıkarmak için şu anda kolluk kuvvetleri ve sektör paydaşlarıyla birlikte çalıştığını söyledi. Olay, kripto piyasasında son dönemde sıklaşan saldırıların yalnızca ‘akıllı kontrat açıkları’ ile sınırlı olmadığını, insan ve sosyal ilişkileri hedef alan ‘sosyal mühendislik’ yöntemlerinin giderek daha sofistike hale geldiğini bir kez daha öne çıkarıyor.