Binance saldırısında 6,34 milyar dolarlık kripto varlık etkilendi; Tayvanlı uzman kontrollerin sınanmasını önerdi

Binance’e yönelik saldırıda yaklaşık 6,34 milyar dolar (yaklaşık 8 trilyon 546,3 milyar won) değerinde kripto varlık etkilendi. İlk incelemede saldırı yolu olarak bir çalışanın iş bilgisayarı ve şirket içi dağıtım yetkileri gösterildi.

Binance, 3’ünde yayımladığı ilk inceleme raporunda saldırganların sahte iş ilanları ve mülakatlar ile değiştirilmiş geliştirme araçlarını kullanarak bir mühendisin iş bilgisayarına kötü amaçlı yazılım yüklediğini açıkladı. Şirkete göre saldırganlar, şirket içi sistemlerde yetki kazandıktan sonra dağıtım kimlik bilgilerini kullanarak olağan para çekme sürecini aştı ve cüzdan imzalama sistemine komut gönderdi. Binance, özel anahtarların sızdırıldığına dair kanıt bulamadığını, incelemenin sürdüğünü bildirdi.

Dijital Varlık Geliştirme Araştırma Merkezi (DADRC) icra direktörü yardımcısı Guo Maoren (郭茂仁), bir yazısında “Kasayı korumanın yanı sıra kasaya erişen kişileri, kullandıkları sistemleri ve yetkileri de yönetmek gerekir” diye yazdı. Yazıda, Binance saldırısında şirket içi bir yapay zekâ aracının başka bir mühendisin bilgisayarını ele geçirmek için geçiş yolu olarak kullanıldığı belirtildi.

Saldırı, çok taraflı hesaplama (MPC) kullanmanın işlem onay sürecini kendiliğinden güvenli hâle getirmediğini gösteriyor. MPC, özel anahtarları tek bir yerde tutmak yerine birden fazla katılımcı arasında paylaştırıyor; ancak imzalama sistemine ulaşan işlem talebinin meşru olup olmadığını tek başına doğrulamıyor.

Yazıda, saldırganların Ethereum’un (ETH) EIP-7702 yetkilendirme özelliğini kullanarak bazı sıcak cüzdanların işlem yürütme yetkisini kontrol ettikleri bir akıllı sözleşmeye devrettiği anlatıldı. Para çekme işlemleri durdurulduktan sonra bile blok zincirinde tanımlı yetkiler aracılığıyla varlık hareketlerinin sürebildiği kaydedildi.

Tayvan Finansal Denetim Komisyonu, 3’ünde Kripto Varlık Hizmetleri Yasası’yla ilgili sekiz ikincil düzenleme taslağını yayımladı. Taslaklar, şirket kuruluşu ve faaliyet yönetimi, iç kontrol ve denetim, dış kaynak kullanımı ile çalışanların niteliklerini kapsıyor. Düzenlemeler henüz kesinleşmedi ve yürürlüğe girmedi.

Çalışan yönetimine ilişkin taslak; iç denetim, uyum, risk yönetimi, muhasebe ve bilgi iletişim sistemlerinin yönetiminden sorumlu kişilerin niteliklerini ve eğitimini düzenliyor. İlgili kişilerin mesleki bir programı tamamlaması ve sınavı geçmesi, işe başladıktan sonra eğitim alması ve iki yılda bir yenileme eğitimine katılması öngörülüyor. Taslak, yönetim kuruluna yöneticileri atama ve denetleme sorumluluğu verirken, çalışanlar için sadakat yükümlülüğü ve davranış standartları getiriyor.

Guo, nitelik ve eğitim kayıtlarını kontrol etmekle yetinilmemesi, kontrollerin gerçek bir saldırı sırasında işleyip işlemediğinin sınanması gerektiğini önerdi. Çalışan bilgisayarının ele geçirilmesi, dağıtım kimlik bilgilerinin sızması veya imzalama sistemine olağandışı komut gönderilmesi hâlinde saldırının tespit edilip engellenip engellenemediğinin kontrol edilmesini istedi.

Yazıda operasyon yönetimi için yüksek yetkili çalışanların bilgilerinin dışarıya açılmasını azaltma, şirket ve kişisel cihazları ayırma, izin verilen yazılımları yönetme, üretim ortamındaki dağıtım yetkilerini ayrıştırma, her işlemi imza öncesinde inceleme ve olay müdahale tatbikatları yapma önerileri sıralandı. Kontrollerin yalnızca politika belgeleriyle değil, gerçek sistem ayarları ve test sonuçlarıyla da gösterilmesi gerektiği vurgulandı.

Yüksek yetkili çalışanlar, kamuya açık iş bilgileri ve kurumsal bağlantıları nedeniyle saldırganların hedefi olabilir. Bu nedenle görev ve şirket içi sistem bilgileri dışarıya açılmayacak şekilde yönetilmeli. Çalışanlara sahte iş ilanlarını, mülakatları ve şüpheli kodlama sınavlarını tanımaları için eğitim verilmesi, bu tür temasları bildirmelerinin istenmesi önerildi. Şirket bilgisayarları yalnızca iş için kullanılmalı; kişisel e-posta, iş arama ve harici geliştirme araçlarının denenmesi için kişisel cihazlar tercih edilmeli.

Yazılım güvenliğinde yalnızca geleneksel antivirüs programlarına güvenilmemesi; onaysız programların çalışmasının kısıtlanması ve çalışan cihazlarındaki yazılım ve geliştirme araçlarının düzenli olarak incelenmesi önerildi. Şirket içi yapay zekâ araçları da envantere alınmalı; erişimleri ve etkinlik kayıtları yönetilmeli, ele geçirilmeleri durumunda saldırganların hangi sistemlere ulaşabileceği sınanmalı. Yazıya göre inceleme, virüs bulaşmış bilgisayarı değiştirmekle sınırlı kalmamalı; çalışanın erişebildiği iş arkadaşları, sistemler ve yetkiler de araştırılmalı.

Geliştirme, test ve üretim ortamlarının birbirinden ayrılması; dağıtım kimlik bilgilerinin mühendislerin günlük iş bilgisayarlarında tutulmaması da öneriler arasında yer aldı. Kısa süre geçerli kimlik bilgileri, çok faktörlü kimlik doğrulama ve iki kişilik onay süreçleri kullanılmalı. Sistemde değişiklik yapan kişi ile dağıtımı onaylayan ve uygulayan kişiler ayrılmalı. Cüzdanlara, bulut sistemlerine ve kritik altyapıya erişen yüksek yetkili hesaplar ayrıca yönetilmeli ve bu hesapların işlemleri kayda alınmalı.

İmzalama sistemi, talebin şirket içindeki olağan süreçten gelip gelmediğine bakmaksızın her işlemde alıcı adresini, transfer sınırlarını ve yasak işlem türlerini kontrol etmeli. EIP-7702 gibi blok zincirinde kalıcı yetkiler bırakan işlemler ayrıca kısıtlanıp izlenebilir. Sıcak cüzdanların büyüklüğü belirlenirken günlük işlem kolaylığının yanı sıra bir olay sırasında karşılanabilecek kayıp da hesaba katılmalı.

Yazı, şirket içi kayıtların yanı sıra blok zincirindeki hareketlerin izlenmesini ve düzenli olay müdahale tatbikatları yapılmasını önerdi. Tatbikatlarda çalışan bilgisayarının ele geçirilmesi, MPC imza düğümlerinin bir kısmının kullanılamaması, imzalanmış ancak henüz blok zincirine aktarılmamış işlemler, kalıcı yetkilerin iptali ve kalan varlıkların taşınması gibi senaryolar ele alınabilir. Sabit coin ihraççıları, borsalar, blok zinciri analiz şirketleri ve kolluk kuvvetleriyle iletişim kanallarının önceden kurulması; FBI’ın kamuya açıkladığı saldırı adreslerinin de işlem kontrollerine eklenmesi önerildi.

Denetim kurumları, şirketlerden iç kontrol belgelerini, yetki ayarlarını, test sonuçlarını ve geçmiş olaylara müdahale kayıtlarını isteyebilir. Teknik ayrıntıların kurum içinden veya dışından uzmanlarca değerlendirilmesi, yeni şirketlerin de güvenli bir test ortamında kontrollerini göstermesi önerildi. Cüzdan, saklama ve imzalama hizmetlerinin dışarıdan alınması şirketin sorumluluğunu ortadan kaldırmıyor. Yazı, sözleşmelerde olay bildirimi, müdahale ve inceleme sorumluluklarının açıkça belirtilmesi gerektiğini vurguladı.

Tayvan Finansal Denetim Komisyonu, taslakların resmî gazetede yayımlanmasını izleyen günden başlayarak 40 gün boyunca görüş almayı planladığını açıkladı. Taslakların görüş sürecinin ardından kesinleştirilmesi bekleniyor.