Coinbase, EvilTokens'ın yaklaşık 1,1 milyon dolarlık izini sürdü

Coinbase, bir yapay zekâ destekli kimlik avı hizmeti olan EvilTokens'ın gelirlerinden yaklaşık 1,1 milyon doları izledi. Coinbase, bu geliri Ekim 2025 ile Haziran 2026 arasında Tron üzerindeki dört adres üzerinden tespit etti. Hizmet, 700'den fazla farklı adresten 1.000'den fazla para yatırma işlemi aldı. Gelir, kimlik avı mağdurlarından çalınan fonları değil, EvilTokens'a yapılan ödemeleri ifade ediyordu. Microsoft ve Coinbase, hizmetin tasfiye edilmesine yardımcı oldu. EvilTokens, dünya genelinde ele geçirilen 12.000'den fazla gelen kutusuyla ilişkilendirildi. Microsoft, hizmetin faaliyete geçmesinden sonraki aylar içinde 10.000'den fazla kuruluşa ulaştığını söyledi. Operasyondan finansal hizmetler, gayrimenkul, sağlık, inşaat ve diğer sektörler etkilendi. Microsoft ve ortakları, EvilTokens tarafından kullanılan 50 web sitesine el koydu. İlgili 150'den fazla alan adını devre dışı bıraktı. İngiltere polisi, iddia edilen operasyonla bağlantılı suç şüphesiyle 11 Eylül'de iki erkeği gözaltına aldı. Polis daha sonra her iki erkeği de şartlı kefaletle serbest bıraktı. EvilTokens, araçlarını Telegram üzerinden abonelik hizmeti olarak sattı. Microsoft, müşterilerin 1.500 dolarlık başlangıç ücreti ödediğini söyledi. Müşteriler ayrıca 500 dolarlık yinelenen abonelik ücreti ödedi. Hizmet, posta kutularına erişim sağlamak için Microsoft'un cihaz kodu kimlik doğrulama sürecini kullandı. Saldırganlar, kimlik doğrulama kodlarını fatura veya paylaşılan dosya kılığına sokulmuş kimlik avı e-postalarıyla gönderdi. Kodları giren kullanıcılar, saldırganların cihazlarında başlatılan oturumları onayladı. EvilTokens, mesajları çevirmek ve özetlemek için yapay zekâ araçlarını kullandı. Bu araçlar ayrıca güvenilen kişileri ve ödeme yetkisine sahip çalışanları belirledi. Microsoft, önceden ayarlanmış komutların bir kuruluşun para hareketlerini yöneten kişilerini belirlemeye ve taklit edilmesi önerilen kişileri saptamaya yardımcı olduğunu söyledi. Araştırmacılar, yapay zekâ destekli kodlama araçlarının EvilTokens'ın bazı bölümlerinin oluşturulmasına yardımcı olduğuna dair kanıt buldu. Coinbase, hizmeti iddia edilen işletmecileriyle ilişkilendirmeye yardımcı olmak için işlem verilerini, tacir kayıtlarını, cihaz bilgilerini ve açık kaynak istihbaratını birleştirdi. Coinbase konuyu Londra Metropolitan Polisine iletti. Borsa ayrıca EvilTokens'ı satın alanlarla ilgili vakaları da kolluk kuvvetlerine bildirdi. Coinbase'in kanıtları, Microsoft'un hizmete karşı açtığı hukuk davasına katkı sağladı. Bazı Coinbase kullanıcıları, saldırganların e-posta yazışmalarını ele geçirmesinin ardından kripto para birimini dolandırıcıların kontrolündeki adreslere gönderdi. Coinbase hesapları ve kimlik bilgileri ele geçirilmedi. Coinbase, işletmecinin araç setini Gmail ve Okta hesaplarını da kapsayacak şekilde genişletmeyi planladığını söyledi. Microsoft, mevcut altyapının kaldırılmasının yöntemi ortadan kaldırmayacağı uyarısında bulundu. Microsoft, gerekli olmayan durumlarda cihaz kodu kimlik doğrulamasının engellenmesini öneriyor. Microsoft, sürecin operasyonel olarak gerekli olduğu durumlarda kuruluşlara bu süreci kısıtlamalarını tavsiye ediyor. Microsoft, şüpheli ele geçirme vakalarında yenileme belirteçlerinin iptal edilmesini ve yeniden kimlik doğrulama yapılmasının zorunlu tutulmasını tavsiye ediyor. Microsoft, standart oturum iptalinin mevcut erişim belirteçlerinin bir saate kadar kullanılabilir kalmasına neden olabileceğini söyledi.