Her ay, MetaMask Güvenlik Direktörü Luker, bilmeniz gereken en son kripto saldırıları ve ortaya çıkan riskler hakkında rapor sunuyor.
Aralık 2024, bir şeyi açıkça ortaya koydu: dolandırıcılar tatil yapmıyor. Hackerlar, geliştiricilerin gözünden kaçırmak için kötü amaçlı kripto kodlarını yapay zeka eğitim verilerine enjekte etmeye başladı; Lazarus Group, LinkedIn'i cehennemi bir iş ilanı panosu gibi kullanmaya devam etti ve Solana'nın @solana/web3.js kütüphanesi, özel anahtarları hedef alan bir tedarik zinciri saldırısına uğradı. Bu arada, LastPass ihlalinden kaynaklanan kayıplar, orijinal olayın üzerinden iki yıl geçmesine rağmen 250 milyon doları aştı; WallStreetBets ise X hesabının ele geçirilmesinin ardından meme coin'lerde 2,2 milyon dolar kaybetti. Proaktif güvenlik cephesinde ise Immunefi, 1,5 milyon dolarlık ödül havuzuyla Ethereum Protocol Attackathon'u başlattı ve Luker, sosyal mühendisliğin her tehdit düzeyinde nasıl işlediğini anlatmak için Devcon SEA sahnesine çıktı. Tüm ayrıntılar aşağıda, ama önce...
Öne çıkan STEM öncüsü: Hackerları avlamanın kitabını yazan deli bilim insanı Clifford Stoll
Clifford Stoll, diğer adıyla "hackerları nasıl avlayacağınızın kitabını yazan deli bilim insanı," California'daki atölyesinde poz veriyor.
Kripto tehditlerinde sosyal mühendislik: domuz kasaplığı, cüzdan boşaltıcılar, iş dolandırıcılıkları ve daha fazlası
Kaçırdıysanız, Luker sosyal mühendisliğin script kiddie'ler, suç kartelleri ve gelişmiş kalıcı tehditler tarafından nasıl kullanıldığına dair genel bir bakış sundu. Kullanıcıların nasıl soyulduğunu, kripto şirketleri ve geliştiricilerin nasıl kandırıldığını dinleyin ve onu geceleri uyutmayan domuz kasaplığının (pig butchering) arkasındaki kötü niyetli uygulamalar hakkında bilgi edinin. İyi seyirler! (Not: Domuz kasaplığı, saldırganların kurbanla haftalarca veya aylarca ilişki kurduğu, güven inşa ettiği, sahte bir yakınlık oluşturduğu, hatta uydurma getiriler gösterdiği ve ardından fonlarını dolandırıcıların kontrol ettiği bir platforma taşımaları için onları ikna ettiği uzun süredir devam eden bir kripto dolandırıcılığıdır. Bu terim, nihayetinde gerçekleşecek hırsızlıktan önce hedefi semirtme fikrine atıfta bulunur. Herhangi bir domuz zarar görmez. Bu dolandırıcılıkların hedefleri insanlardır.)
Daha güvenli tarayıcı uzantısı güvenliği için same-origin realm'ler ve Realms-Initialization-Control
Same-origin realm'ler, tarayıcıların komut dosyalarını güvenli bir şekilde çalıştırması ve aynı kaynaktan gelen farklı web sayfalarını izole etmesi için bir yöntemdir. Özellikle iframe'ler gibi gömülü içeriklerle çalışırken veya güvenilmeyen komut dosyaları yüklenirken güvenliği artırmak için kullanışlıdır.
Gal Weizman'ın makalesi, geliştiricilerin daha güvenli ve verimli web uygulamaları oluşturmak için bu realm'leri nasıl kullanabileceğini inceliyor. Geliştiricilerin komut dosyalarının nasıl başlatıldığını kontrol etmesine olanak tanıyarak ekstra bir güvenlik katmanı ekleyecek olan Realms-Initialization-Control'ü (RIC) öne çıkarıyor. Bu, yaygın web güvenlik açıklarının önlenmesine ve uygulamaların daha sağlam hale getirilmesine yardımcı olabilir. Güvenliği geliştirme kolaylığıyla dengelemek bir zorluk olmakla birlikte, bu tür gelişmeler daha güvenli bir web için zemin hazırlıyor.
Lazarus Group, LinkedIn iş teklifleri ve sahte kimlikler kullanarak bir kripto çalışanından 2 milyon dolar çaldı
Taylor Monahan, yakın zamanda DPRK bağlantılı Lazarus Group'un çalışanlara sosyal medya veya mesajlaşma uygulamaları aracılığıyla ulaşmak, iş teklifleri veya teknik yardım kılığında onları GitHub depolarına yönlendirmek ve şirket altyapısına erişim sağlamak için bireysel cihazları ele geçirmek gibi gelişmiş sosyal mühendislik taktiklerini nasıl kullandığını vurguladı.
Gerçek hayattan bir örnekte, bir çalışanın cihazı LinkedIn'deki sahte bir kimlikle etkileşime girdikten sonra ele geçirildi. Saldırgan, güven inşa etmek için çalışana kripto para ile ödeme yapacak kadar iletişimi sürdürdü ve sonunda 2 milyon doların üzerinde para çalmak için bu erişimi kullandı.
Buna ek olarak MetaMask, çevrimiçi ortamda biriyle iletişime geçildiğinde dikkat edilmesi gereken şeylerin kolay anlaşılır bir listesini paylaştı.
Kripto kullanıcıları için dark web pazar yeri güvenlik modelleri ve sıfır güven uygulamaları
Evan Boehs, dark web'in anonimlik ve meşru kullanım alanları sunduğunu, ancak aynı zamanda risklerle dolu olduğunu aktarıyor; dolandırıcılık, kötü amaçlı yazılım ve güven sorunları burada olağan bir durum. Anonim satıcılar işlem ortasında ortadan kaybolabilir, kötü amaçlı bağlantılar her yerde gizlenir ve tek bir hata kimliğinizi ifşa edebilir.
Güvende kalmak için Tor gibi araçlar kullanın, iyi kripto para hijyeni uygulayın ve sıfır güven zihniyetini benimseyin.
Ethereum Protocol Attackathon, 1,5 milyon dolarlık ödül havuzuyla başlatıldı
Immunefi'nin Attackathon'u resmen başladı. 20 Ocak 2025'e kadar sürecek olan bu büyük ölçekli kitlesel kaynaklı güvenlik denetimi yarışması, Ethereum protokolünün güvenliğini güçlendirmeyi amaçlıyor. Etkinlik, profesyonel denetim firmalarından bağımsız güvenlik araştırmacılarına kadar geniş bir katılımcı yelpazesini 1.500.000 dolarlık ödül havuzu için yarışmaya davet ediyor.
Solana @solana/web3.js kütüphanesi, özel anahtarları hedef alan tedarik zinciri saldırısında ele geçirildi
Ne oldu
Solana, özel anahtarları ele geçirmeyi ve fonları boşaltmayı hedefleyen, yaygın olarak kullanılan @solana/web3.js npm kütüphanesini hedef alan bir tedarik zinciri saldırısına maruz kaldı. 1.95.6 ve 1.95.7 olarak tanımlanan kötü amaçlı sürümler, 2 Aralık 2024'te kısa süreliğine erişilebilir oldu ve ardından hızla dolaşımdan kaldırıldı.
Saldırganların kimlik avı teknikleri aracılığıyla erişim sağladığı ve kütüphaneye zararlı kod enjekte ettiği düşünülüyor. Bu kod, özel anahtarları saldırganların kontrolündeki bir sunucuya, özellikle ihlalden yalnızca birkaç gün önce kaydedilen sol-rpc[.]xyz adresine sızdırmak üzere tasarlanmıştı. Bulut güvenliği araştırmacısı Christophe Tafani-Dereeper, paket içinde özellikle anahtara duyarlı işlemleri hedef alan "addToQueue" adlı bir arka kapı işlevi keşfetti.
Kullanıcılar kendilerini nasıl koruyabilir
Saldırıya yanıt olarak Solana Labs, güvenlik uzmanlarıyla birlikte, ele geçirilen kütüphane sürümlerinden etkilenmiş olabilecek geliştiriciler için öneriler yayımladı. Bu öneriler arasında kötü amaçlı sürümlerin kullanımını tespit etmek için bağımlılıkların kapsamlı denetiminin yapılması, güvenli 1.95.8 sürümüne derhal güncelleme yapılması ve ele geçirildiğinden şüphelenilen durumlarda anahtarların yenilenmesi yer alıyor.
Yapay zeka kod zehirleme: dolandırıcılar yapay zeka eğitim verilerine kötü amaçlı kripto kodu yerleştiriyor
Ne oldu
Dolandırıcılar artık yapay zeka eğitim verilerini hedef alarak kullanıcıları istismar etmek için kötü amaçlı kripto kodları yerleştiriyor. Bu vakada kod, @OpenAI tarafından önerilen bir API aracılığıyla özel anahtarın gönderilmesini içeriyordu. Dolandırıcılık hızla gerçekleştirildi ve kullanıcının varlıkları, API'yi kullanmaya başlamasından 30 dakika içinde bir hırsızın cüzdanına aktarıldı.
Kullanıcılar kendilerini nasıl koruyabilir
Bu olay, özellikle kripto alanında yapay zeka tarafından üretilen kodları kullanırken dikkatli olmanın kritik önemini gözler önüne seriyor. Yapay zeka hizmetleri tarafından önerilen web sitelerinin ve API'lerin meşruiyetini doğrulamak için yapay zeka önerilerini her zaman çift kontrol edin. Yeni araçlar veya kodlarla deney yaparken, olası hata veya güvenlik açıklarında kayıpları en aza indirmek için minimum miktarda fon içeren test cüzdanları kullanın. Ayrıca, kripto topluluğundaki yaygın taktikler ve bilinen kötü amaçlı siteler hakkında güncel kalarak dolandırıcılıklar hakkında bilgi sahibi olun.
WallStreetBets X hesabı, Solana meme coin'lerinde 2,2 milyon dolar için hacklendi
Ne oldu
WallStreetBets'in X hesabının önemli bir ihlalinde, hackerlar Solana blok zincirinde 2,2 milyon ABD dolarının üzerinde değere sahip meme coin'leri ele geçirdi. Blok zinciri dedektifi ZachXBT tarafından tespit edilen bu istismar, X'in mobil uygulamasındaki bir güvenlik açığına kadar izlendi. Çalınan varlıklar arasında 1.430.000 PNUT token, 400.000 ZEREBRO token ve 130.000 ALCH token yer alıyordu. Hackerlar, WallStreetBets erişimlerini kaldırdıktan sonra bile hesabı kontrol etmek için passkey'leri kullandı.
Kullanıcılar kendilerini nasıl koruyabilir
Sosyal medyada yeni bir token yatırımını öven herhangi bir bağlantıyla karşılaşırsanız, tıklamadan önce bir an durarak meşruiyetini değerlendirin. Bu bağlantılar, önemli getiriler ve erken girme fırsatları vaat ederek son derece cazip görünebilir; ancak insanların tuzağa düşmesi tam da bu şekilde gerçekleşiyor. Bu bağlantıların sizi nereye götürdüğünü çift kontrol edin ve vaat edilenlerin meşruiyetini doğrulamak için gerekli araştırmayı yapın.
LastPass ihlali devam ediyor: 40 cüzdandan 5,36 milyon dolar çalındı, toplam kayıplar 250 milyon doları aştı
Ne oldu
ZachXBT, "LastPass tehdit aktörü" tarafından gerçekleştirilen ve 40'tan fazla kurban adresinden yaklaşık 5,36 milyon dolar kaybına yol açan önemli bir kripto para hırsızlığını ifşa etti. LastPass'ın şifreli kasa verilerine yetkisiz erişimi bildirdiği Aralık 2022 olayıyla bağlantılı bu ihlal, toplam kripto kayıplarının 250 milyon doları aşmasına katkıda bulundu. Saldırganlar özellikle özel anahtarlarını veya gizli kurtarma ifadelerini (SRP) LastPass kasalarında depolayan kullanıcıları hedef alarak merkezi depolamanın güvenlik açıklarını istismar etti.
Kullanıcılar kendilerini nasıl koruyabilir
Düzenli denetimler: dijital varlıklarınızın nerede ve nasıl depolandığını periyodik olarak gözden geçirin. Kullandığınız depolama çözümünün en yüksek güvenlik standartlarına uyduğundan emin olun.
Güvenli depolama: özel anahtarları veya SRP'leri merkezi parola yöneticilerinde depolamaktan kaçının. Hassas bilgiler için donanım cüzdanları veya diğer güvenli çevrimdışı depolama yöntemlerini kullanmayı düşünün.
Acil eylem: kripto ile ilgili herhangi bir veriyi depolamak için LastPass kullandıysanız, varlıklarınızı yeni bir cüzdana aktarmayı ve önlem olarak herhangi bir sözleşmenin veya çoklu imza cüzdanının sahipliğini değiştirmeyi düşünün.
Güncel kalın: varlıklarınızı korumaya yönelik güvenlik tehditleri ve en iyi uygulamalar hakkındaki son haberler için saygın siber güvenlik uzmanlarını ve platformlarını takip edin.
MetaMask'ın Aralık 2024 Kripto Güvenlik Raporu; manipüle edilmiş eğitim verileri aracılığıyla kripto geliştiricilerini hedef alan yapay zeka kod zehirlemeyi, sahte LinkedIn iş teklifleri kullanarak 2 milyon dolar çalan Lazarus Group'u, Solana'nın @solana/web3.js kütüphanesine yönelik tedarik zinciri saldırısını ve LastPass ihlalinden kaynaklanan kayıpların 250 milyon doları aşmasını ele aldı. Ekosistemde güvende kalmaya yönelik daha fazla tehdit, eğilim ve ipucu için MetaMask Kripto Güvenlik Raporu'nun önceki sayılarına göz atın.
