Saldırı: Bir Oltalama E-postası, Bir Ele Geçirilmiş Dizüstü Bilgisayar

Saldırının giriş noktası şaşırtıcı derecede sıradandı. 5 Haziran’da yönetici Chong Yee Wai, görünüşte Bithumb’dan gelen ve dolaşımdaki arz kilitlenme takvimini tartışan bir e-posta aldı. E-postada kötü amaçlı bir ZIP eki bulunuyordu .

Ek açıldığında, hncagent.exe adlı bir dosyayı çalıştıran kötü amaçlı yazılımı kurdu. Bu dosya, Hancom’a ait meşru bir Güney Kore dijital sertifikası kullanılarak imzalanmıştı. Quantstamp, bu sertifika imzalama modelinin Kuzey Kore siber operasyonlarının bilinen bir özelliği olduğunu belirtti .

Kurulan kötü amaçlı yazılım, saldırganlara yöneticinin dizüstü bilgisayarına tam uzaktan erişim sağladı. Tek bir bilgisayardan yedi özel anahtarı ele geçirdiler: Ethereum köprüsünü yöneten altı Gnosis Safe çoklu imza sahibi anahtarından üçü ve sözleşme yükseltmelerine izin veren ek anahtarlar .

Saldırı İki Zincirde Nasıl Gerçekleşti?

Köprü yönetim anahtarlarının kontrolünü ele geçiren saldırganlar, koordineli bir pencere içinde Ethereum ve BNB Smart Chain’de eş zamanlı saldırılar düzenledi:

Ethereum’da:

• Saldırganlar H token köprü sözleşmesini kendi kontrollerindeki kötü amaçlı bir sürüme yükseltti .
• Tek bir işlemde köprüden yaklaşık 141 milyon H token’ını çaldılar .
• Çalınan token’lar büyük ölçüde başka varlıklarla takas edildi veya başka zincirlere taşındı ve kurtarılmaları son derece zorlaştı .

BNB Smart Chain’de:

• Saldırganlar ProxyAdmin sözleşmesinin kontrolünü ele geçirdi .
• Bu erişimi kullanarak doğrudan ek H token’ları bastılar ve adeta yoktan yeni arz yarattılar .
• Yeni basılan ve çalınan token’lar yaklaşık sekiz saat boyunca Uniswap ve PancakeSwap’ta sistematik olarak satıldı ve token fiyatını çökertti .

Saldırı, herhangi bir akıllı sözleşmedeki bir hatayı kullanmadı. Tamamen insan odaklı bir oltalama kampanyasıyla gerçekleştirilmiş bir anahtar ele geçirme ihlaliydi. Humanity Protocol daha sonra bu noktayı açıkça doğrulayarak hiçbir akıllı sözleşmenin istismar edilmediğini belirtti .

Quantstamp’ın Adli Bulguları ve Kuzey Kore Bağlantısı

Humanity Protocol, ihlalden bir gün sonra, 9 Haziran’da Quantstamp’ı işe aldı. Güvenlik firması 11 Haziran’da ön soruşturma raporunu yayımladı ve proje 12 Haziran’da hırsızlığı Kuzey Kore bağlantılı bilgisayar korsanlarına atfetti; 14 Haziran’da Quantstamp bulgularını tamamen açıkladı .

Quantstamp’ı Kuzey Kore bağlantılı tehdit aktörlerine yönlendiren temel adli göstergeler şunlardı:

• Kötü amaçlı yazılım araçları ve davranışı: hncagent.exe’nin birinci aşama yükleyici olarak kullanılması ve gözlemlenen uzaktan erişim modelleri, bilinen Kuzey Kore sızma setleriyle eşleşti .
• Dijital sertifika istismarı: Kötü amaçlı yazılım, Hancom’dan alınan meşru bir Güney Kore dijital sertifikasıyla imzalanmıştı; Quantstamp bu taktiği önceki Kuzey Kore bağlantılı operasyonların karakteristik bir özelliği olarak tanımladı .
• Operasyonel yöntemler: Oltalama, anahtar sızdırma ve zincirler arası boşaltmaya uzanan çok aşamalı yaklaşım, Lazarus Grubu ve bağlı kuruluşlarıyla uzun süredir ilişkilendirilen sosyal mühendislik ağırlıklı oyun kitabını yansıtıyor; bu gruplar benzer yöntemlerle 3 milyar doların üzerinde kripto para çaldı .

Rapor ayrıca devam eden riski de netleştirdi: Ethereum’daki H token sözleşmesi, ele geçirilmemiş bir çoklu imza cüzdanı tarafından dondurulmuş olsa da, BNB Smart Chain’deki dağıtım kalıcı olarak saldırganların kontrolü altında ve basım yeteneği hala aktif .

H Token Çöküşü ve Yüzde 210’luk Yükseliş

Çöküş

8 Haziran’daki istismarın hemen ardından H token fiyatı hızla düştü. 2 Haziran’daki tüm zamanların en yüksek seviyesi olan 0,844 dolardan yaklaşık yüzde 74 düşerek panik satışlarıyla 0,05 ila 0,13 dolar arasına geriledi .

Toparlanma Rallileri

Bir dizi rahatlama rallisi yaşandı:

• 12 Haziran: H tek bir günde yaklaşık yüzde 44 yükselerek 0,227 dolar civarına geri döndü. Bu sıçrama, Humanity Protocol’ün hafifletme önlemlerini açıklaması ve Ethereum sözleşmesinin dondurulmasıyla tetiklendi .
• 14 Haziran: Bir başka yüzde 42’lik tek günlük ralli, token’ı 0,6276 dolara kadar taşıdı ve saldırı sonrası düşük seviyelerden yaklaşık yüzde 210’luk bir yükseliş anlamına geliyordu .

Yükseliş Neden Riskliydi?

Bu dramatik toparlanma, temel göstergelerin düzelmesine dayanmıyordu. CoinMarketCap verileri, 14 Haziran’daki yükselişe, açık pozisyonlarda yüzde 131’lik bir artışla 213 milyon dolara ulaşıldığını ve bunun da piyasaya büyük miktarda spekülatif kaldıraçlı pozisyon girişini işaret ettiğini gösterdi . CoinMarketCap’in analizi, bu kaldıraç birikiminin yüksek oynaklık riski taşıdığını ve ani bir tersine dönüşün zincirleme tasfiyelere yol açabileceği uyarısında bulundu .

15 Haziran’a gelindiğinde token 0,23-0,30 dolar civarına geri çekilmişti ve spekülatif rallinin kırılganlığını doğrulamış oldu .

Web3 Güvenliği İçin Daha Geniş Kapsamlı Çıkarımlar

Humanity Protocol ihlali izole bir olay değil; Web3’te, özellikle de merkeziyetsizlik etrafında tasarlanmış projelerde bile varlığını sürdüren yapısal güvenlik açıklarının ders kitabı niteliğinde bir örneğidir.

1. Çoklu imza ile merkeziyetsizlik efsanesi. Humanity, köprü kontrolü için 3/6 Gnosis Safe kullanıyordu. Ancak bu altı anahtarın üçü tek bir çalışanın dizüstü bilgisayarında saklanıyordu. İhlal, çoklu imza düzenlemesinin yalnızca anahtarlarının fiziksel olarak dağıtık bir şekilde saklanması kadar güvenli olduğunu gösteriyor; bu, birçok projenin hala ihmal ettiği bir gerçek .

2. Kuzey Kore bilgisayar korsanlığı artık öngörülebilir, tekrarlayan bir tehdit. Kuzey Kore’nin siber birimleri, özellikle Lazarus Grubu, tekrarlanabilir bir oyun kitabı geliştirdi: bir kripto projesi belirle, sosyal mühendislik yoluyla bir geliştirici veya yöneticiyi ele geçir, özel anahtarları çal ve fonları zincirler arasında boşalt. Humanity Protocol bu uzayan ve büyüyen liste üzerindeki son giriş .

3. Çapraz zincir köprüleri kritik darboğazlar olmaya devam ediyor. Tasarımları gereği köprüler, az sayıda yönetici anahtarı tarafından kontrol edilen büyük, likit varlık havuzlarını barındırır. Bu da onları karşı konulamaz hedefler haline getirir. Bu saldırıda Ethereum ve BSC köprülerinin eş zamanlı olarak istismar edilmesi, neden köprü güvenliğinin (sadece akıllı sözleşme denetimi değil, aynı zamanda anahtar yönetimi ve erişim kontrolü) herhangi bir çapraz zincir projesi için en öncelikli konu olması gerektiğini pekiştiriyor .

4. Saldırı sonrası ralliler tuzak olabilir. H token’ının yüzde 210’luk yükselişi, hızlı bir toparlanma peşinde koşan yatırımcıları cezbetti ancak kaldıraç verileri kalabalık ve istikrarsız bir ticaretin olduğunu gösteriyordu. Bir token, güvenilir bir çözümden ziyade spekülasyon üzerine yükseldiğinde (özellikle zincirlerden biri hala kalıcı olarak tehlikeye atılmışken), ikinci bir çöküş riski teorik olmaktan çıkar .

5. Düzenleyici baskı artacaktır. Kuzey Kore gibi bir devlet aktörünün bir kripto hırsızlığına karıştığı belirlendiğinde, düzenleyiciler harekete geçer. Özellikle kullanıcı fonlarını tutan çapraz zincir köprüleri işleten protokoller için KYC/AML uyumluluğu, saklama amaçlı anahtar yönetimi standartları ve zorunlu güvenlik denetimleri konusunda yeni bir inceleme dalgası bekleniyor .

Saldırı: Bir Oltalama E-postası, Bir Ele Geçirilmiş Dizüstü Bilgisayar

Saldırının giriş noktası şaşırtıcı derecede sıradandı. 5 Haziran’da yönetici Chong Yee Wai, görünüşte Bithumb’dan gelen ve dolaşımdaki arz kilitlenme takvimini tartışan bir e-posta aldı. E-postada kötü amaçlı bir ZIP eki bulunuyordu .

Ek açıldığında, hncagent.exe adlı bir dosyayı çalıştıran kötü amaçlı yazılımı kurdu. Bu dosya, Hancom’a ait meşru bir Güney Kore dijital sertifikası kullanılarak imzalanmıştı. Quantstamp, bu sertifika imzalama modelinin Kuzey Kore siber operasyonlarının bilinen bir özelliği olduğunu belirtti .

Kurulan kötü amaçlı yazılım, saldırganlara yöneticinin dizüstü bilgisayarına tam uzaktan erişim sağladı. Tek bir bilgisayardan yedi özel anahtarı ele geçirdiler: Ethereum köprüsünü yöneten altı Gnosis Safe çoklu imza sahibi anahtarından üçü ve sözleşme yükseltmelerine izin veren ek anahtarlar .

Saldırı İki Zincirde Nasıl Gerçekleşti?

Köprü yönetim anahtarlarının kontrolünü ele geçiren saldırganlar, koordineli bir pencere içinde Ethereum ve BNB Smart Chain’de eş zamanlı saldırılar düzenledi:

Ethereum’da:

• Saldırganlar H token köprü sözleşmesini kendi kontrollerindeki kötü amaçlı bir sürüme yükseltti .
• Tek bir işlemde köprüden yaklaşık 141 milyon H token’ını çaldılar .
• Çalınan token’lar büyük ölçüde başka varlıklarla takas edildi veya başka zincirlere taşındı ve kurtarılmaları son derece zorlaştı .

BNB Smart Chain’de:

• Saldırganlar ProxyAdmin sözleşmesinin kontrolünü ele geçirdi .
• Bu erişimi kullanarak doğrudan ek H token’ları bastılar ve adeta yoktan yeni arz yarattılar .
• Yeni basılan ve çalınan token’lar yaklaşık sekiz saat boyunca Uniswap ve PancakeSwap’ta sistematik olarak satıldı ve token fiyatını çökertti .

Saldırı, herhangi bir akıllı sözleşmedeki bir hatayı kullanmadı. Tamamen insan odaklı bir oltalama kampanyasıyla gerçekleştirilmiş bir anahtar ele geçirme ihlaliydi. Humanity Protocol daha sonra bu noktayı açıkça doğrulayarak hiçbir akıllı sözleşmenin istismar edilmediğini belirtti .

Quantstamp’ın Adli Bulguları ve Kuzey Kore Bağlantısı

Humanity Protocol, ihlalden bir gün sonra, 9 Haziran’da Quantstamp’ı işe aldı. Güvenlik firması 11 Haziran’da ön soruşturma raporunu yayımladı ve proje 12 Haziran’da hırsızlığı Kuzey Kore bağlantılı bilgisayar korsanlarına atfetti; 14 Haziran’da Quantstamp bulgularını tamamen açıkladı .

Quantstamp’ı Kuzey Kore bağlantılı tehdit aktörlerine yönlendiren temel adli göstergeler şunlardı:

• Kötü amaçlı yazılım araçları ve davranışı: hncagent.exe’nin birinci aşama yükleyici olarak kullanılması ve gözlemlenen uzaktan erişim modelleri, bilinen Kuzey Kore sızma setleriyle eşleşti .
• Dijital sertifika istismarı: Kötü amaçlı yazılım, Hancom’dan alınan meşru bir Güney Kore dijital sertifikasıyla imzalanmıştı; Quantstamp bu taktiği önceki Kuzey Kore bağlantılı operasyonların karakteristik bir özelliği olarak tanımladı .
• Operasyonel yöntemler: Oltalama, anahtar sızdırma ve zincirler arası boşaltmaya uzanan çok aşamalı yaklaşım, Lazarus Grubu ve bağlı kuruluşlarıyla uzun süredir ilişkilendirilen sosyal mühendislik ağırlıklı oyun kitabını yansıtıyor; bu gruplar benzer yöntemlerle 3 milyar doların üzerinde kripto para çaldı .

Rapor ayrıca devam eden riski de netleştirdi: Ethereum’daki H token sözleşmesi, ele geçirilmemiş bir çoklu imza cüzdanı tarafından dondurulmuş olsa da, BNB Smart Chain’deki dağıtım kalıcı olarak saldırganların kontrolü altında ve basım yeteneği hala aktif .

H Token Çöküşü ve Yüzde 210’luk Yükseliş

Çöküş

8 Haziran’daki istismarın hemen ardından H token fiyatı hızla düştü. 2 Haziran’daki tüm zamanların en yüksek seviyesi olan 0,844 dolardan yaklaşık yüzde 74 düşerek panik satışlarıyla 0,05 ila 0,13 dolar arasına geriledi .

Toparlanma Rallileri

Bir dizi rahatlama rallisi yaşandı:

• 12 Haziran: H tek bir günde yaklaşık yüzde 44 yükselerek 0,227 dolar civarına geri döndü. Bu sıçrama, Humanity Protocol’ün hafifletme önlemlerini açıklaması ve Ethereum sözleşmesinin dondurulmasıyla tetiklendi .
• 14 Haziran: Bir başka yüzde 42’lik tek günlük ralli, token’ı 0,6276 dolara kadar taşıdı ve saldırı sonrası düşük seviyelerden yaklaşık yüzde 210’luk bir yükseliş anlamına geliyordu .

Yükseliş Neden Riskliydi?

Bu dramatik toparlanma, temel göstergelerin düzelmesine dayanmıyordu. CoinMarketCap verileri, 14 Haziran’daki yükselişe, açık pozisyonlarda yüzde 131’lik bir artışla 213 milyon dolara ulaşıldığını ve bunun da piyasaya büyük miktarda spekülatif kaldıraçlı pozisyon girişini işaret ettiğini gösterdi . CoinMarketCap’in analizi, bu kaldıraç birikiminin yüksek oynaklık riski taşıdığını ve ani bir tersine dönüşün zincirleme tasfiyelere yol açabileceği uyarısında bulundu .

15 Haziran’a gelindiğinde token 0,23-0,30 dolar civarına geri çekilmişti ve spekülatif rallinin kırılganlığını doğrulamış oldu .

Web3 Güvenliği İçin Daha Geniş Kapsamlı Çıkarımlar

Humanity Protocol ihlali izole bir olay değil; Web3’te, özellikle de merkeziyetsizlik etrafında tasarlanmış projelerde bile varlığını sürdüren yapısal güvenlik açıklarının ders kitabı niteliğinde bir örneğidir.

1. Çoklu imza ile merkeziyetsizlik efsanesi. Humanity, köprü kontrolü için 3/6 Gnosis Safe kullanıyordu. Ancak bu altı anahtarın üçü tek bir çalışanın dizüstü bilgisayarında saklanıyordu. İhlal, çoklu imza düzenlemesinin yalnızca anahtarlarının fiziksel olarak dağıtık bir şekilde saklanması kadar güvenli olduğunu gösteriyor; bu, birçok projenin hala ihmal ettiği bir gerçek .

2. Kuzey Kore bilgisayar korsanlığı artık öngörülebilir, tekrarlayan bir tehdit. Kuzey Kore’nin siber birimleri, özellikle Lazarus Grubu, tekrarlanabilir bir oyun kitabı geliştirdi: bir kripto projesi belirle, sosyal mühendislik yoluyla bir geliştirici veya yöneticiyi ele geçir, özel anahtarları çal ve fonları zincirler arasında boşalt. Humanity Protocol bu uzayan ve büyüyen liste üzerindeki son giriş .

3. Çapraz zincir köprüleri kritik darboğazlar olmaya devam ediyor. Tasarımları gereği köprüler, az sayıda yönetici anahtarı tarafından kontrol edilen büyük, likit varlık havuzlarını barındırır. Bu da onları karşı konulamaz hedefler haline getirir. Bu saldırıda Ethereum ve BSC köprülerinin eş zamanlı olarak istismar edilmesi, neden köprü güvenliğinin (sadece akıllı sözleşme denetimi değil, aynı zamanda anahtar yönetimi ve erişim kontrolü) herhangi bir çapraz zincir projesi için en öncelikli konu olması gerektiğini pekiştiriyor .

4. Saldırı sonrası ralliler tuzak olabilir. H token’ının yüzde 210’luk yükselişi, hızlı bir toparlanma peşinde koşan yatırımcıları cezbetti ancak kaldıraç verileri kalabalık ve istikrarsız bir ticaretin olduğunu gösteriyordu. Bir token, güvenilir bir çözümden ziyade spekülasyon üzerine yükseldiğinde (özellikle zincirlerden biri hala kalıcı olarak tehlikeye atılmışken), ikinci bir çöküş riski teorik olmaktan çıkar .

5. Düzenleyici baskı artacaktır. Kuzey Kore gibi bir devlet aktörünün bir kripto hırsızlığına karıştığı belirlendiğinde, düzenleyiciler harekete geçer. Özellikle kullanıcı fonlarını tutan çapraz zincir köprüleri işleten protokoller için KYC/AML uyumluluğu, saklama amaçlı anahtar yönetimi standartları ve zorunlu güvenlik denetimleri konusunda yeni bir inceleme dalgası bekleniyor .