Kuzey Kore bağlantılı 8 tehdit aktöründen 3’ü yapay zekâyı operasyonlarına entegre etti

Kuzey Kore bağlantılı sekiz önemli tehdit aktöründen üçü, yapay zekâyı günlük operasyonlarına entegre ettikleri en üst kullanım seviyesi olan “operasyonelleştirme” kategorisinde sınıflandırıldı.

Microsoft (MSFT), 29 Ekim’de yayımladığı tehdit istihbaratı analizinde Jade Sleet, Coral Sleet ve Jasper Sleet’i bu seviyede değerlendirdi. Sınıflandırma, yapay zekânın hedef araştırması, yem içerik hazırlama ve araç geliştirme gibi tekrarlanan saldırı adımlarında düzenli olarak kullanıldığı anlamına geliyor.

Değerlendirilen diğer beş aktörden dördü “hızlandırma”, biri ise “ölçekleme” aşamasında yer aldı. Bu dereceler, aktörlerin yapay zekâ kullanım düzeyini gösteriyor; her saldırıda yapay zekâ kullanıldığı anlamına gelmiyor.

Microsoft, Onyx Sleet’e atfedilen ve belirli hedeflere göre hazırlanmış 100’den fazla PDF yem dosyasını Ağustos-Eylül 2026 döneminde tespit etti. Dosyalar, Türkiye’deki kullanıcıları hedef alan içerikler taşıyor ve kimlik avında kullanılmış olarak sınıflandırılıyor.

Dosya meta verilerinde, birkaç düzine belgenin dakikalar içinde art arda oluşturulduğuna dair izler bulundu. Microsoft, meta verileri temel alarak dosyaların bir yapay zekâ platformunun çıktısı olma ihtimalini yüksek gördü.

Onyx Sleet, “operasyonelleştirme” değil, “hızlandırma” aşamasında sınıflandırıldı. Bir grubun yapay zekâ kullanım seviyesiyle belirli bir saldırıda yapay zekânın gerçekten üstlendiği rolü birbirinden ayırmak gerekiyor.

Rapora göre yapay zekâ; kripto para cüzdanları, borsalar ve merkeziyetsiz finans (DeFi) yapıları hakkında araştırma yapmak, iş ve yatırım teklifleri içeren yemleri hedefe göre uyarlamak için kullanıldı. Sahte kimliklerle açılan hesapların sürdürülmesine de yardımcı olduğu değerlendirildi.

Kullanım örnekleri arasında kod üretme, kodu değiştirme ve hataları denetleme de yer aldı. Hedefler kripto para ve finans şirketlerinin yanı sıra bilgi teknolojileri şirketleri ile yazılım tedarik zincirini de kapsadı.

İşe alım teklifiyle yaklaşma yöntemi, daha önce haberleştirilen Kuzey Kore bağlantılı uzaktan işe alım yoluyla sızma vakalarında da ele alınmıştı. Microsoft, saldırıların niyetini ve hedeflerini belirleyenin hâlâ insanlar olduğunu değerlendirdi.

Bu nedenle “operasyonelleştirme”, tüm saldırıların yapay zekâ tarafından yürütüldüğü veya saldırı sürecinin tamamen otomatikleştirildiği anlamına gelmiyor. Rapora göre yapay zekâ, mevcut saldırı çalışmalarına destek sağlıyor ve bu çalışmaları genişletiyor.

Binance cüzdanlarından varlıkların çıkışıyla ilgili olarak TRM Labs, analizinde hareketlerin 30 Ekim saat 05.05’te (Kore saati) başladığını hesapladı. On blokzincire aktarılan varlıkların toplamı yaklaşık 6,36 milyar dolar (yaklaşık 8,52 trilyon won) oldu; varlıkların çoğu yaklaşık 20 dakika içinde taşındı. TRM Labs, zincir üstü ve zincir dışı verilere dayanarak TraderTraitor’ı yüksek güven düzeyiyle işaret etti.

Çok Taraflı Yaptırımların İzlenmesi Ekibi (MSMT), raporunda TraderTraitor ile Jade Sleet’i aynı aktörün farklı adları olarak kaydetti. Bu eşleştirme, TRM Labs’in işaret ettiği TraderTraitor adını Microsoft’un “operasyonelleştirme” aşamasında sınıflandırdığı Jade Sleet ile ilişkilendiriyor.

Elliptic, 30 Ekim itibarıyla hükümet veya kolluk kuvvetlerinden saldırgana ilişkin resmî bir atıf açıklaması gelmediğini bildirdi. Binance de saldırganın kimliğini araştırdığını açıkladı.

Binance, olaydan etkilenen tutarı yaklaşık 6,3 milyar dolar (yaklaşık 8,43 trilyon won), zincir üstünde dondurulan varlıkları ise yaklaşık 3 milyar dolar (yaklaşık 4,02 trilyon won) olarak açıkladı. Dondurulan tutar, kurtarılıp iade edilen miktarla aynı değil. Binance, kullanıcıların kayıplarını koruma fonu ve şirket kaynaklarıyla karşılayacağını, soruşturma sonrasında teknik analizi yayımlayacağını bildirdi.