Kripto para borsası Binance, saldırganların sahte işe alım görüşmeleri ve kötü amaçlı yazılım kullanarak dahili sistemlerine sızarak yaklaşık 6,34 milyar dolarlık dijital varlık çaldıklarını ortaya koydu. Şirketin soruşturması, 29 Ekim 2026 saldırısının birkaç ay boyunca birden fazla çalışanı içeren bir dizi tehlikeden kaynaklandığını gösteriyor.
Binance’in 3 incident report Kasım tarihli açıklamasına göre, saldırganlar operasyonu Haziran ayında bir yazılım mühendisinin yapay zeka geliştirme aracı ararken modifiye edilmiş bir Homebrew kurulumunu indirmesiyle hazırlamaya başladılar. Binance şüpheli yazılımı tespit edip etkilenen cihazı değiştirmiş olsa da, saldırganlar daha fazla müdahaleye yardımcı olabilecek bilgileri zaten elde etmişti.
Eylül ayında başka bir mühendisin meşru bir işe alım platformu aracılığıyla iş fırsatı bulmasıyla ayrı bir saldırı başladı. Sözde işveren hayali bir şirketti ve kendisini proje direktörü olarak sunan kişi aldatmanın bir parçasıydı.
Mühendis iki röportajda yer aldı. İlki sırasında, insan kaynakları temsilcisi gibi davranan biri video görüşmesi yaptı ve güvenilirliği artırmak için kişisel fotoğraflar ve videolar içeren bir sosyal medya profili paylaştı.
İkinci mülakat sırasında, bir mesajlaşma uygulaması aracılığıyla gerçekleştirildi, sözde işveren mühendise çevrimiçi bir depodan bir kodlama ödev indirmesini söyledi. Görev, şirketin uç nokta güvenlik korumalarını atlayan daha önce tanımlanamayan zararlı yazılım içeriyordu.
Binance araştırmacıları, kötü amaçlı yazılımın çalışanın macOS bilgisayarındaki meşru bir geliştirme aracı bileşeninin yerini aldığını keşfetti. Özellikle, pyenv yürütülebilir dosyasını saldırgan kontrolündeki bir sunucudan alınan komutları çalıştırabilen değiştirilmiş bir sürümle değiştirdi.
20 Ekim itibarıyla saldırganlar, Binance’in kripto cüzdan altyapısında yer alan iki ek çalışanın sistemlerine ulaşmak için ele salınmış bilgisayara erişimi dahili bir yapay zeka aracıyla birleştirdiler. Daha sonra kimlik bilgileri ve bir konteyner dağıtım tokenı elde ettiler.
29 Ekim’de çalınan erişim, saldırganların zararlı kod yayımlamasına ve Binance’in cüzdan imza hizmetini ele geçirmesine olanak sağladı. Bu, borsanın normal çekme prosedürlerini takip etmeden birden fazla blokzincir üzerinden yetkisiz kripto para transferlerini mümkün kıldı.
Saldırganlar ayrıca Ethereum’un EIP-7702 yetkilendirme mekanizmasını da sömürdüler; bu da Binance’in transferleri durdurma çabalarını zorlaştırdı. Borsa para çekimlerini askıya aldıktan sonra bile yetkisiz faaliyetler devam etti.
FBI, hırsızlığı Lazarus Group ile bağlantılı olan Kuzey Kore devlet destekli bir hack grubu TraderTraitor’a atfetti. Kuzey Kore olaya karıştığını reddederken, Binance saldırganların kimliğini bağımsız olarak doğrulamadı.
Binance, 3 Kasım itibarıyla yaklaşık 2,85 milyar dolarlık çalınan varlıkların dondurulduğunu veya ele geçirildiğini bildirdi. Şirket ayrıca etkilenen token varlıklarının yaklaşık %98’ini kendi fonlarıyla yenilediğini belirtti.