6,34 milyar dolarlık varlık Binance olayından etkilendi; Arkéa yetkisiz transferleri açıkladı

Binance (Binance) olayından etkilenen varlıkların toplamı 6,34 milyar dolar (yaklaşık 8,46 trilyon won) olarak hesaplandı. Fransız bankası Crédit Mutuel Arkéa da dış hizmet sağlayıcısının platformu üzerinden gerçekleştirilen bir saldırıda yetkisiz transferlere maruz kaldı; ancak müşteri varlıkları etkilenmedi.

Binance, saldırının 30 Ekim saat 05.05’te (Kore saatiyle) başladığını açıkladı. Şirket, 3 Kasım’da yayımladığı ilk inceleme bulgularında saldırganların iç cüzdan imzalama hizmetine yetkisiz erişim sağladığını ve normal para çekme prosedürlerinin dışında işlemler gerçekleştirdiğini belirtti.

Binance’in açıkladığı inceleme bulguları, saldırganların sahte bir iş görüşmesi ve kötü amaçlı yazılım kurulumu üzerinden ilerleyerek şirketin iç AI aracını ihlal ettiğini, ardından cüzdanları yönetme yetkisine eriştiğini ortaya koydu. Şirket, çalışan cihazlarının ve şirket içi erişim yetkilerinin nasıl ihlal edildiğini anlattı.

6,34 milyar dolar, nihai kayıp tutarı değil, olaydan etkilenen varlıkların toplamıdır. Binance, 31 Ekim itibarıyla etkilenen token varlıklarının yüzde 98’ini yerine koyduğunu, daha sonra da olaydan etkilenen varlıkların tamamını yerine koyma işlemini bitirdiğini duyurdu. Varlıkların yerine konması, bunların saldırganlardan geri alındığı anlamına gelmiyor.

Crédit Mutuel Arkéa, 4 Kasım’da yayımladığı soru-cevap metninde saldırganların müşteri hesapları yerine bankanın kendi hesaplarını kullanarak başka finans kuruluşlarına para gönderdiğini açıkladı. Banka, paranın daha sonra uzmanlaşmış bir platformda kripto varlıklara dönüştürülmüş olabileceğini de belirtti.

Banka daha önce saldırının dış hizmet sağlayıcısının platformu üzerinden gerçekleştiğini ve bağlı kuruluşu Fortuneo’nun bu saldırıda kullanılmadığını açıklamıştı. Müşteri varlıkları etkilenmese de bazı transfer işlemlerinin geciktiğini bildirdi.

Banka, soru-cevap metninde geçen 118 milyon euro tutarını doğrulamadı; zararın yaklaşık büyüklüğünü kabul etmekle yetindi. Bazı fonların bloke edildiğini, kalan kısmın ise geri alınması için çalışmaların sürdüğünü açıkladı.

ABD Adalet Bakanlığı (DOJ), 12 Kasım’da Binance olayıyla bağlantılı olarak kamu ve özel sektörün iş birliğiyle 2,7 milyar dolardan fazla tutarın dondurulduğunu açıkladı. Bunun 1,2 milyar dolardan fazlası için mahkeme onayı alındı; bu onay söz konusu varlıklara el konulmasına veya üzerlerinde tasarrufun kısıtlanmasına imkân sağladı. Bu tutar, tamamlanmış iadeleri ifade etmiyor. DOJ’nin açıkladığı miktar ile Binance’in dondurduğu veya bloke ettiği varlıklar farklı tarihlerde ve farklı kurumlarca hesaplandı; kısmen örtüşebilecekleri için bu tutarlar toplanamaz.

İki olayın saldırı yolları farklıydı. Binance, iç cüzdan imzalama yetkilerinin ve çalışan cihazlarının nasıl ihlal edildiğini açıklarken Arkéa, dış hizmet sağlayıcısının platformunu giriş noktası olarak gösterdi. İki kurumun açıklamaları, teknik saldırı yöntemlerinin aynı olduğu sonucuna varmak için dayanak oluşturmuyor.

Avrupa Birliği’nin (AB) Dijital Operasyonel Dayanıklılık Yasası (DORA), finans kuruluşlarının bilgi ve iletişim teknolojisi risklerini yönetmesini, olayları bildirmesini ve dış hizmet sağlayıcılarından kaynaklanan riskleri ele almasını düzenliyor. Yasa Ocak 2025’ten bu yana uygulanıyor.

Avrupa Merkez Bankası (ECB), temmuz ayında finans kuruluşlarının üst yöneticilerine gönderdiği mektupta AI modellerinin yazılım açıklarını bulma ve çalışan saldırı kodları üretme süresini kısaltabileceği uyarısında bulundu. Bu uyarı, AI modellerinin finans kuruluşlarını hedef alan saldırılarda kullanılabileceğine ilişkin genel bir riske işaret ediyordu.

ECB ayrıca açıkları giderme ve saldırı tespit kapasitesini artırma, dış hizmet sağlayıcılarını yönetme ve eski teknolojileri yenileme başlıklarını gündeme getirdi. Bunlar, finans kuruluşlarının hem iç sistemlerini hem de dış erişim yollarını yönetmesine yönelik düzenleme ve denetim adımları arasında yer alıyor.

Avrupa Sistemik Risk Kurulu (ESRB), gelişmiş AI modellerinin kısa ve orta vadede saldırganların açıkları bulma ve saldırıları yürütme hızını artırabileceği uyarısında bulundu. Kurul, uzun vadede bu modellerin savunma kapasitesini de güçlendirebileceğini ekledi.

AI destekli saldırılar ile müşteriler adına ödeme yapan AI ajanlarını birbirinden ayırmak gerekiyor. Santander ve Mastercard, mart ayında önceden belirlenmiş yetki ve limitler dahilinde AI ajanlarının ödeme yaptığı bir test yürüttüklerini ve bunun ticari bir hizmet olarak sunulmadığını açıkladı.

Binance’in açıkladığı iç AI aracı ihlali, cüzdanları yönetme yetkisine erişim sürecinin bir parçasıydı. İki şirketin ödeme testinin bu iki olayla bağlantılı olduğuna dair açıklamalarda herhangi bir bilgi yer almadı.