Інженер Axie Infinity став жертвою шахрайства з вакансіями, що призвело до значної хакерської події в індустрії шифрування

Разом з помітною подією подання заявки на роботу сталася одна з найбільших у шифрувальному секторі атак хакерів. Старший інженер Axie Infinity проявив значний інтерес до компанії, яка пізніше була підтверджена як вигадана, що в кінцевому підсумку призвело до цього серйозного наслідку.

У березні цього року спеціалізований Ethereum бічний ланцюг Ronin для Axie Infinity зазнав атаки хакера, в результаті якої було втрачено до 540 мільйонів доларів США в криптовалюті. Хоча уряд США пізніше пов'язав цей інцидент з північнокорейською хакерською групою Lazarus, конкретні деталі експлуатації вразливості досі не були повністю оприлюднені.

За повідомленнями, цей інцидент тісно пов'язаний з фальшивим рекламним оголошенням про роботу.

Двоє анонімних інформаторів повідомили, що на початку цього року особа, яка представлялася як представник вигаданої компанії, зв'язалася з працівниками розробника Axie Infinity Sky Mavis через професійну соціальну мережу і заохочувала їх подавати заявки на роботу. Після кількох раундів співбесід один з інженерів Sky Mavis отримав пропозицію про високооплачувану роботу.

Потім цей інженер отримав підроблений лист про прийом на роботу у форматі PDF. Після завантаження цього документа, хакерське програмне забезпечення успішно проникло в систему Ronin. Хакер зміг атакувати та контролювати чотири з дев'яти верифікаційних вузлів у мережі Ronin, залишивши лише один, щоб повністю контролювати всю мережу.

Sky Mavis в опублікованому 27 квітня звіті про аналіз ситуації зазначила: "Наші співробітники постійно стикаються з різноманітними висококласними фішинговими атаками в соціальних мережах, і один з наших співробітників, на жаль, став жертвою. Зловмисники використали цей доступ для проникнення в IT-інфраструктуру Sky Mavis і отримали доступ до верифікаційних вузлів. Цей співробітник більше не працює в компанії."

Вузли верифікації виконують кілька важливих функцій у блокчейні, включаючи генерацію транзакційних блоків і оновлення даних оракулів. Ronin використовує систему "доказу авторитету" для підписання транзакцій, зосереджуючи владу в руках дев'яти довірених верифікаторів.

Компанія з аналізу блокчейну у блозі, опублікованому в квітні, пояснила: "Якщо п'ять з дев'яти валідаторів схвалять, можна здійснити переказ коштів. Зловмисник успішно отримав приватні ключі п'яти валідаторів, що достатньо для викрадення шифрованих активів."

Незважаючи на те, що хакери успішно проникли в систему Ronin через фальшиві вакансії, вони контролювали лише чотири з дев'яти валідаторів і їм потрібен ще один валідатор для завершення контролю.

Sky Mavis у звіті після інциденту розкрила, що Хакер використав Axie DAO (організацію, яка підтримує екосистему гри) для здійснення атаки. Sky Mavis раніше у листопаді 2021 року просила DAO про допомогу у вирішенні великого обсягу транзакцій.

"Axie DAO дозволяє Sky Mavis підписувати різні угоди від його імені. Ця практика була зупинена в грудні 2021 року, але доступ до списку дозволів не був відкликаний," заявила Sky Mavis у блог-пості. "Як тільки зловмисник отримає доступ до системи Sky Mavis, він зможе отримати підпис з валідаторів Axie DAO."

Хакер атака сталася через місяць після того, як Sky Mavis збільшила кількість своїх верифікаційних вузлів до 11 і в блог-пості зазначила, що довгостроковою метою є наявність понад 100 вузлів.

Sky Mavis відмовився коментувати конкретні способи хакерського вторгнення.

На початку квітня Sky Mavis залучила 150 мільйонів доларів у рамках фінансування. Ці кошти будуть використовуватися разом з власними коштами компанії для компенсації користувачам, яких торкнулося атака. Нещодавно компанія оголосила, що почне повертати кошти користувачам з 28 червня. Міст Ethereum Ronin, який раптово зупинився після атаки хакерів, також було повторно запущено минулого тижня.

Нещодавно опитування показало, що північнокорейська організація Lazarus зловживає професійними соціальними платформами та програмами миттєвого обміну повідомленнями, атакуючи підрядників у сфері аерокосмічної промисловості та оборони. Однак у звіті не було пов'язано цю технологію з інцидентом з хакерами Sky Mavis.

Крім того, у квітні цього року безпекова агенція опублікувала попередження про безпеку, вказавши, що північнокорейська APT-організація Lazarus Group використовує ряд шкідливих додатків для цілеспрямованих APT-атак на цифрову валютну індустрію. Конкретні методи включають:

1. Ця хакерська організація повністю використовує принципи соціальної інженерії, граючи різні ролі на великих соціальних медіа.

2. Спілкуватися з розробниками в індустрії блокчейн, зближуватися, готуватися до подальших дій.

3. Ця хакерська організація навіть створила свій власний торговий сайт, використовуючи такі приводи, як набір співробітників на аутсорсинг, щоб здобути довіру розробників.

4. Використання можливості для відправлення відповідного шкідливого програмного забезпечення для фішингових атак.

Щодо таких подій безпекові експерти рекомендують:

1. Працівники галузі повинні уважно стежити за безпековою інформацією великих загроз у країні та за кордоном, проводити самоперевірку та зберігати високу пильність.

2. Розробники повинні провести необхідні перевірки безпеки перед запуском виконуваної програми.

3. Впровадження механізму нульового довіри, ефективно знижує ризики, пов'язані з такими загрозами.

4. Користувачі Mac/Windows повинні підтримувати активний захист від шкідливого ПЗ в реальному часі та своєчасно оновлювати останні вірусні бази.