Güney Kore finans kurumlarına yönelik saldırıyla ilişkilendirilen hesap adı NFT pazaryeri kayıtlarında da bulundu

Güney Kore’deki finans kurumlarına yönelik saldırıda kullanıldığı değerlendirilen “YY520CN” adlı Telegram hesabı, NFT hediye pazaryerindeki güvenlik açığı araştırma kayıtlarında da yer aldı. CrowdStrike, iki kayıttaki hesap adının aynı olduğunu bildirdi.

ABD’li siber güvenlik şirketi CrowdStrike, bu bulguyu 7’sinde yayımladığı raporda saldırıyla bağlantılı yapay zekâ aracı konuşma kayıtlarını inceleyerek tespit etti. Şirket, aynı hesabın Çin’deki bir ödeme platformunu hedef almış olabileceği düşünülen faaliyetlerde de kullanıldığını aktardı.

CrowdStrike ayrıca saldırganın yapay zekâ kodlama aracı Claude Code’dan bir güvenlik araştırmacısı özgeçmişi hazırlamasını istediği 기록을 찾았다. İstekte Telegram hesabı, Çin’in Guangdong eyaletindeki Maoming’de ikamet bilgisi ve eğitim geçmişi gibi kişisel bilgiler bulunuyordu.

Özgeçmişe, Güney Kore’deki finans kurumlarına yönelik saldırıyla ilişkilendirilen ARTEX faaliyetlerinin de eklenmesi istendi. Raporda ARTEX, güvenlik açıklarını araştırmaya yönelik bir araç olarak tanımlandı. Özgeçmişte yaş ve doğum yılı bilgilerinin uyuşmaması nedeniyle CrowdStrike, verilen kimlik bilgilerinin gerçek saldırgana ait olduğunu doğrulamadı.

Saldırgan, yapay zekâ aracına Güney Kore’den sızdırılan kişisel verilerin satış kanallarını ve ilgili Telegram gruplarını bulmanın yollarını da sordu. CrowdStrike, Çince kullanımı ve maddi motivasyonla ilgili değerlendirmelerine “orta” güven düzeyi verdi.

Hesap adının eşleşmesi, finans kurumlarına yönelik saldırı kayıtları ile NFT platformundaki güvenlik açığı araştırma kayıtlarında aynı adın geçtiğini gösteriyor. Bu bulgu, iki faaliyetin aynı kişi tarafından yürütüldüğünü kanıtlamıyor; NFT platformunun gerçekten ihlal edilip edilmediği de doğrulanmış değil.