Binance güvenlik olayının etkisini 6,3 milyar dolar olarak tahmin etti; TRM Labs TraderTraitor'ı işaret etti

Binance, güvenlik olayının toplam etkisini yaklaşık 6,3 milyar dolar (yaklaşık 8,4231 trilyon won) olarak tahmin etti. Şirket, ilk erişim noktası olarak bir DevOps mühendisine ait dizüstü bilgisayarın ele geçirilmiş olabileceğini belirtti. TRM Labs ise olayın arkasında Kuzey Kore bağlantılı TraderTraitor'ın bulunduğunu öne sürdü.

Binance, 30'unda yayımladığı güvenlik olayı güncellemesinde saldırganların ele geçirilmiş dizüstü bilgisayar üzerinden hizmet konteynerlerine erişmiş ve ardından yetkisiz para çekme işlemleri göndermiş olabileceğini açıkladı. Bu, ilk soruşturmanın bulgusu; sisteme tam olarak nasıl girildiği araştırılıyor.

DevOps, yazılım geliştirme ile hizmet operasyonlarını bir araya getiren çalışma alanıdır. Binance, cüzdanların özel anahtarlarının sızdırıldığına dair kanıt bulmadığını bildirdi.

Binance, blok zinciri sektöründeki şirketlerle iş birliği içinde zincir üzerinde yaklaşık 3 milyar dolar (yaklaşık 4,011 trilyon won) değerinde varlığı dondurduğunu açıkladı. Bu tutar, olayın toplam etkisine ilişkin tahminden ayrı bir dondurma miktarıdır.

Şirket, güvenlik kontrolleri için para yatırma ve çekme işlemlerini geçici olarak durdurdu ve ilgili adreslerin erişim izinlerini iptal etti. Kullanıcıların zararlarının tamamını Kullanıcı Varlıklarını Koruma Fonu (SAFU) ve şirket kaynaklarıyla karşılayacağını belirtti.

TRM Labs, kendi analizinde saldırının TraderTraitor tarafından gerçekleştirildiği yönündeki değerlendirmesine yüksek güven duyduğunu açıkladı. TraderTraitor, Lazarus Group ile bağlantılı olarak sınıflandırılan bir grup. TokenPost daha önce Binance saldırısının arkasında Lazarus Group'un olabileceğinin öne sürüldüğünü bildirmişti.

Olay, 18 Nisan'da gerçekleşen KelpDAO saldırısıyla da karşılaştırılıyor. KelpDAO'nun köprüsünden o saldırıda 116.500 rsETH, yaklaşık 292 milyon dolar (yaklaşık 390,7 milyar won) değerinde varlık çalınmıştı.

LayerZero'nun mayısta yayımladığı nihai soruşturma raporunda, saldırganların bir geliştiriciyi kötü amaçlı bir depoyu kopyalamaya ikna ederek oturum bilgilerini ele geçirdiği belirtildi. Rapora göre saldırganlar bu bilgileri kullanarak şirketin dahili RPC altyapısına erişti.

Saldırganlar dahili RPC düğümünün yanıtlarını değiştirdi ve harici bir RPC sağlayıcısına hizmet engelleme saldırısı düzenledi. Böylece LayerZero'nun doğrulama sistemi sahte zincirler arası mesajları onayladı. Raporda, uygulamanın tek doğrulayıcı ayarı kullanması da saldırının etkili olmasına katkıda bulunan etkenlerden biri olarak gösterildi.

Soruşturmaya katılan Mandiant ve CrowdStrike, KelpDAO saldırısının Kuzey Kore tarafından gerçekleştirildiği değerlendirmesine yüksek güven duyduklarını bildirdi. İki şirketin TraderTraitor ile bağlantıya ilişkin güven düzeyi ise orta olarak değerlendirildi.

Her iki olayda da geliştiricilerin çalışma ortamı olası saldırı yolu olarak gündeme geldi. Ancak KelpDAO olayında işlem doğrulama altyapısı manipüle edilirken Binance soruşturmasında yetkisiz para çekme işlemlerinin gönderilmiş olabileceği inceleniyor; saldırı yöntemleri farklı.

Zincir üstü bir analist, saldırganın adresinden 74,56 milyon Arbitrum (ARB) tokeninin '0x000…0DA0' adresine taşındığını belirterek KelpDAO saldırısıyla aynı grubun bağlantılı olabileceğini öne sürdü. Bu değerlendirme, adresler arasındaki varlık hareketine dayanıyor.

Arbitrum Güvenlik Konseyi, KelpDAO'dan çalınan varlıkları nisanda dondurarak söz konusu adreste tutmuştu. Bu nedenle varlıkların aynı adrese taşınmış olması, iki saldırıyı aynı kişilerin gerçekleştirdiğini kanıtlamıyor.

Binance, saldırganların kimliğini araştırmak için kolluk kuvvetleri ve blok zinciri analiz şirketleriyle çalışıyor. Şirket, soruşturma tamamlanıp olayın ayrıntıları doğrulandığında teknik inceleme raporunu yayımlayacağını, kurtarma çalışmaları bittikten sonra ise rezerv kanıtını güncelleyeceğini açıkladı.