Kripto ve AI geliştiricilerine ‘TrapDoor’ şoku: Cüzdan verileri ve API anahtarlarını hedef alan tedarik zinciri saldırısı

Kripto ve yapay zeka(AI) geliştiricilerini hedef alan yeni bir ‘tedarik zinciri saldırısı’ hızla yayılıyor. Güvenlik platformu Socket, ‘TrapDoor’ adı verilen bu kötü amaçlı yazılım kampanyasının en az 34 zararlı paket ve 384 farklı sürüm üzerinden geliştiricilerin cüzdan verilerini, API anahtarlarını ve GitHub erişim jetonlarını çaldığını bildirdi.

Socket, 23’ünde (yerel saatle) tespit ettiği kampanyayı 25’inde yayımladığı raporla açıkladı. Saldırganların npm, PyPI, Crates gibi geliştiricilerin günlük olarak kullandığı paket ekosistemlerine zararlı kütüphaneler yerleştirdiği, bunları da normal geliştirme araçları gibi göstererek kurulumları tetiklediği belirtildi. Özellikle Coinbase, Binance, Solana(SOL), Sui(SUI), Aptos(APT) ve MetaMask gibi popüler kripto para cüzdanlarının hedef alınması dikkat çekiyor.

Socket’in teknoloji direktörü Ahmet Nasri(Ahmad Nassri), bu kötü amaçlı kodun Claude ve Cursor gibi AI kod asistanlarını da ‘ele geçirmek’ için gizli talimatlar yerleştirdiğini açıkladı. Bu talimatlar yüzeyde ‘güvenlik denetimi’ ya da benzeri görevler gibi görünürken, perde arkasında AI araçlarını gizli bilgileri bulup dışarı sızdırmaya yönlendiriyor. ‘Yorum’ Bu durum, prompt enjeksiyonu üzerinden AI destekli geliştirme araçlarının da yeni saldırı yüzeyi haline geldiğini gösteriyor. yorum

Kampanyanın hedef yelpazesi oldukça geniş. Kripto para ve DeFi projeleriyle çalışan geliştiricilerin yanı sıra AI ve siber güvenlik alanındaki ekipler de risk altında. Saldırı; cüzdan verileri, SSH anahtarları, bulut hizmeti hesap bilgileri, tarayıcı eklenti verileri ve API anahtarlarını toplu şekilde ele geçirmeyi amaçlıyor. Socket, bunu “geliştirici uygulama mağazalarına zehirli paketler yerleştirip, günlük iş akışı içinde fark edilmeden kurulum yaptıran tipik bir tedarik zinciri saldırısı” olarak tanımlıyor.

Kötü amaçlı paketlerin isimleri de özellikle yanıltıcı seçilmiş durumda. Socket’e göre bu paketler, ‘geliştirme yardımcı aracı’, ‘proje yapılandırma aracı’, ‘model yönlendirme aracı’, ‘prompt mühendisliği paketi’, ‘Solidity aracı’, ‘Sui/Move build helper’ gibi masum görünen başlıklarla dağıtılıyor. Böylece yalnızca kripto para geliştiricileri değil, onlara yakın çalışan AI ve güvenlik geliştiricileri de doğal bir şekilde hedef alanın içine çekiliyor.

Bu olay, geliştirici ekosisteminin tedarik zinciri saldırılarında artık birincil hedef haline geldiğini yeniden ortaya koyuyor. AI araçlarının geliştirme sürecine derin biçimde entegre olmasıyla, kötü amaçlı yazılımlar da yalnızca veri çalmakla kalmayıp ‘AI yardımcı araçları’ kandıracak şekilde evriliyor. Socket, GitHub üzerindeki etkinlikleri incelerken hızlı ve sık revizyon yapılan commit’ler, sahte güvenlik dokümantasyonları ve kısmen uygulanmış veri toplama kodlarının aynı paketlerde yer aldığını da tespit etti.

Bu uyarı, GitHub’ın 20’sinde iç depolarına yönelik yetkisiz erişim girişimini doğrulamasının hemen ardından geldi. Geliştiricilerin güvendiği platform ve araçlar saldırı aracı haline geldikçe, özellikle kripto para projeleri ve AI hizmetlerinde ‘tedarik zinciri güvenliği’ denetimlerinin önemi daha da artıyor.

Sektör uzmanları, ‘TrapDoor’ kampanyasının yalnızca zararlı paket yaymaktan ibaret olmadığını; kripto para cüzdanları, bulut hesapları ve AI geliştirme ortamlarını aynı anda hedef alan ‘bileşik saldırı’ niteliği taşıdığını vurguluyor. ‘Yorum’ Geliştirici ekosisteminin güvene dayalı yapısında oluşacak bir kırılmanın, tek tek hesap ihlallerini aşarak tüm projelere ve kullanıcı ekosistemine yayılabilecek zincirleme hasarlara yol açabileceği uyarısı öne çıkıyor. yorum