ABD, Binance soygunundan 1,2 milyar dolara el koydu; FBI Kuzey Kore'nin sahte Zoom/Teams toplantılı "FaceStealer" altyapısını çökertti
ABD Adalet Bakanlığı, Ekim'deki 6,3 milyar dolarlık Binance soygunundan çalınan varlıkların 1,2 milyar doları aşan kısmına el koyma ya da dondurma kararı aldı. FBI ayrıca son 18 ayda 400 milyon doları aşan kripto varlık çalınmasında kullanılan, deepfake ve önceden kaydedilmiş videolarla çalışan FaceStealer kampanyasının bulut altyapısını bozduğunu duyurdu.
ABD Adalet Bakanlığı, Ekim ayında kripto para platformu Binance'ten çalınan 6,3 milyar dolarlık varlıkların 1,2 milyar doları aşan kısmına el koymak ya da dondurmak için mahkeme izni aldığını açıkladı. The Record'un 12 Kasım tarihli haberine göre bu tutar, soygunun ardından çeşitli kripto platformlarının dondurduğu toplam 2,7 milyar doların bir parçası.
Binance ve FBI saldırıyı, Kuzey Kore bağlantılı TraderTraitor grubuna bağlıyor. Bakanlık, grubun varlıkları köprüler, mixer'lar ve borsalar üzerinden aklamayı sürdürdüğünü ve takip çalışmalarının devam ettiğini belirtti. Blockchain analiz şirketi Elliptic ise aklayıcıların kendi değersiz token'larını üretip merkeziyetsiz borsa likidite havuzları üzerinden fon taşıdığını gözlediğini aktardı.
FaceStealer nasıl çalışıyor?
FBI ve Adalet Bakanlığı aynı açıklamada, Kuzey Koreli saldırganların son 18 ayda 400 milyon doları aşan kripto varlık çalmak için kullandığı "FaceStealer" adlı sosyal mühendislik kampanyasının bulut altyapısını bozduklarını duyurdu. Anlatılan akış şöyle:
- Hedefe, daha önceki bir kurbandan ele geçirilmiş bir hesaptan Calendly üzerinden Zoom ya da Teams toplantı daveti gönderiliyor.
- Bağlantı sahte bir alan adına gidiyor; kurban toplantıya girmeden zararlı yazılım indiriyor.
- Toplantıda geçmiş kurbanlardan kaydedilmiş videolar oynatılarak çok katılımcılı gerçek bir görüşme izlenimi veriliyor; bazı vakalarda kripto dünyasından tanınmış kişilerin deepfake videoları kullanıldı.
- Hedefin kamera görüntüsü kaydedilip bir sonraki kurbana karşı kullanılıyor; Telegram, LinkedIn, Slack ve Discord hesapları ele geçirilip kişinin bağlantılarına aylar sonra yeni davetler yollanıyor.
FBI, 900'ü aşkın kurban webcam videosuna el koymak için arama izni aldığını ve birçok kurbanla görüştüğünü söyledi. Bir FBI yetkilisi, Binance ihlalinde FaceStealer'ın kullanılıp kullanılmadığının belli olmadığını belirtti. Yöntem, sitede daha önce yer alan sahte iş görüşmesiyle başlayan Binance saldırısı ve takvim davetiyle Google oturum ele geçirme haberlerindeki desenle benzerlik taşıyor.
Ne yapılmalı?
- Tanıdık bir kişiden bile gelse, beklenmedik toplantı davetlerini ayrı bir kanaldan (telefon, kurum içi sohbet) teyit edin.
- Toplantıya katılmak için "güncelleme", "eklenti" ya da "ses sürücüsü" indirmenizi isteyen sayfaları kapatın; Zoom ve Teams'i yalnızca resmî mağaza veya üretici sitesinden güncelleyin.
- Kripto cüzdan, borsa ve yönetici hesaplarında donanım anahtarlı MFA kullanın; seed phrase ve özel anahtarları toplantı yapılan cihazda tutmayın.
- Kurumlarda yeni kaydedilmiş, toplantı servisini taklit eden alan adlarına giden trafiği DNS loglarında izleyin; ele geçirilen bir hesap fark edilirse kişinin bağlantılarını hemen uyarın.
