Obsidian eklentileri kriptoyu vuruyor: Elastic Security Labs’ten PHANTOMPULSE uyarısı

Elastic Security Labs, kripto para ve finans sektörünü hedef alan yeni bir ‘sosyal mühendislik’ saldırı tekniği konusunda uyarıda bulundu. Araştırmaya göre saldırganlar, not alma uygulaması Obsidian’ın ‘topluluk eklentileri’ özelliğini kötüye kullanarak, kurban fark etmeden ‘kötü amaçlı yazılım’ çalıştırmayı başarıyor. 13’ünde (yerel saatle), Elastic Security Labs raporuna göre bu yöntem, önce LinkedIn ve Telegram üzerinden güven ilişkisi kurup, ardından paylaşılan bir kasanın (vault) açtırılmasıyla devreye giriyor.

Saldırı senaryosunda saldırgan, ilk olarak LinkedIn’de bir ‘girişim sermayesi’ temsilcisi gibi davranarak hedefe ulaşıyor. Ardından iletişimi Telegram’a taşıyor ve ‘kripto varlık likidite çözümü’ benzeri projelerden söz ederek güvenilir bir iş ilişkisi izlenimi veriyor. Bu süreçten sonra kurbana Obsidian kullanması öneriliyor ve saldırganın hazırladığı bulut tabanlı kasaya giriş yapması isteniyor. Kullanıcı, topluluk eklentilerinin senkronizasyonuna izin verdiği anda, Truva atına dönüştürülmüş eklenti sessizce çalışmaya başlıyor ve cihaz üzerindeki kontrol yavaş yavaş saldırgana geçiyor.

Elastic Security Labs, saldırının hem Windows hem de macOS sistemlerde çalıştığını ve ‘PHANTOMPULSE’ adlı yeni bir uzaktan erişim Truva atı(RAT) dağıttığını belirtiyor. Bu kötü amaçlı yazılım, en az üç farklı blokzinciri üzerinden komuta-kontrol(C2) bilgilerini arayarak merkezi sunucu engellense bile diğer zincirler üzerinden yeniden bağlantı kurabilecek şekilde tasarlandı. ‘Normal bir üretkenlik aracı’ gibi görünen Obsidian, bu sayede fiilen bir saldırı kanalı haline getirilmiş durumda.

Kripto varlık sahipleri bu tür saldırılar için özellikle cazip hedef konumunda. Blokzincir işlemleri geri alınamadığı için, bir kez hesap ele geçirildiğinde zarar telafisi neredeyse imkânsız. Chainalysis verilerine göre 2025’te sadece kişisel cüzdan ihlalleri nedeniyle 713 milyon dolar çalındı. Dolar/TL kurunun 1474,80 lira civarında seyrettiği düşünüldüğünde, bu tür saldırıların doğurabileceği kayıpların yerel para birimi bazındaki karşılığı çok daha çarpıcı hale geliyor.

Elastic Security Labs bu özel kampanyanın engellendiğini açıklasa da, olay ‘ilk temas’ noktalarının giderek daha sofistike hale geldiğini gösteren çarpıcı bir örnek oldu. Uzmanlara göre finans ve kripto şirketleri, ‘işbirliği araçları’ söz konusu olsa bile eklenti kullanımında katı güvenlik politikaları uygulamalı. ‘Kullanışlı araçlar’ın her an bir saldırı vektörüne dönüşebileceği gerçeği, bu olayla bir kez daha net biçimde ortaya çıkmış durumda.