مهندس كبير في Axie Infinity يصبح فتيل هجوم هاكر

أدت تجربة توظيف مهندس أول في Axie Infinity إلى واحدة من أكبر عمليات الاختراق في صناعة التشفير. تقدم هذا المهندس عن غير قصد لوظيفة في شركة وهمية، مما أدى إلى تعرض سلسلة الإيثريوم الجانبية الخاصة بـ Axie Infinity، رونين، لثغرة أمنية خطيرة.

في مارس من هذا العام، تعرضت Ronin لهجوم هاكر، حيث خسرت ما يصل إلى 540 مليون دولار من العملات المشفرة. على الرغم من أن الحكومة الأمريكية ربطت لاحقًا هذا الأمر بمجموعة هاكرز الكورية الشمالية Lazarus، إلا أن التفاصيل الدقيقة للهجوم لم تُكشف بالكامل بعد.

يُذكر أن هذه الحادثة بدأت بإعلان توظيف مزيف. أفاد مصدر أن شخصًا يدعي أنه يمثل شركة معينة اتصل بموظفي Sky Mavis، مطور Axie Infinity، عبر منصة التواصل المهني، مشجعًا إياهم على التقدم للوظائف. بعد عدة جولات من المقابلات، حصل مهندس من Sky Mavis على وظيفة بأجر مرتفع.

بعد ذلك، تلقى المهندس إشعار توظيف مزيف بصيغة PDF. بعد تنزيل هذا الملف، تمكن برنامج هاكر من التسلل بنجاح إلى نظام Ronin. هاجم الهاكر بعدها واستولى على أربعة من تسعة مصادقين على شبكة Ronin، وكان يحتاج فقط إلى واحد آخر للسيطرة تمامًا على الشبكة بأكملها.

أعلنت شركة Sky Mavis في تقريرها بعد الحادث الذي صدر في 27 أبريل: "يواجه موظفونا باستمرار هجمات تصيد متقدمة عبر قنوات التواصل الاجتماعي، حيث تعرض أحد الموظفين للأسف للاختراق. الموظف حالياً قد غادر العمل. استغل المهاجمون الوصول الذي حصلوا عليه لاختراق بنية Sky Mavis التحتية لتكنولوجيا المعلومات، واستولوا على السيطرة على العقد المصدق."

في blockchain ، يكون المسؤولون مسؤولين عن إنشاء كتل المعاملات وتحديث وظائف متعددة مثل Oracle البيانات. تعتمد Ronin على نظام "إثبات السلطة" لتوقيع المعاملات ، مما يركز السلطة في أيدي تسعة من المسؤولين الموثوق بهم.

شرحت شركة تحليل البلوكشين Elliptic: "ما دام هناك خمسة من بين تسعة من المدققين يوافقون، يمكن تحويل الأموال. تمكن المهاجمون من الحصول على مفاتيح خاصة لخمس مدققين، مما يكفي لسرقة الأصول المشفرة."

على الرغم من أن هاكر تمكنوا من اختراق نظام Ronin من خلال إعلانات توظيف مزيفة، إلا أنهم سيطروا فقط على أربعة من تسعة مصادقين، ولا يزالون بحاجة إلى مصادق إضافي للسيطرة الكاملة.

أفادت Sky Mavis في تقريرها أن الهاكر تمكن في النهاية من تنفيذ الهجوم من خلال Axie DAO (وهي منظمة تدعم نظام اللعبة البيئي). كانت Sky Mavis قد طلبت في نوفمبر 2021 من DAO المساعدة في التعامل مع عبء المعاملات الثقيل.

"Axie DAO يسمح لشركة Sky Mavis بالتوقيع على معاملات مختلفة نيابة عنها. توقفت هذه الممارسة في ديسمبر 2021، لكن لم يتم سحب حق الوصول إلى قائمة الأذونات،" أوضحت Sky Mavis، "بمجرد أن يحصل المهاجمون على حق الوصول إلى نظام Sky Mavis، يمكنهم الحصول على التوقيعات من مدقق Axie DAO."

بعد شهر من حدوث الهجوم هاكر، زادت Sky Mavis عدد نقاط التحقق الخاصة بها إلى 11، وأشارت إلى أن الهدف على المدى الطويل هو أن يكون لديها أكثر من 100 نقطة.

أكملت Sky Mavis في أوائل أبريل تمويل بقيمة 150 مليون دولار تقوده منصة تداول معينة. ستُستخدم هذه الأموال مع أموال الشركة الخاصة لتعويض المستخدمين المتأثرين بالهجوم. أعلنت الشركة مؤخرًا أنها ستبدأ في 28 يونيو استعادة الأموال للمستخدمين. كما تم إعادة تشغيل جسر الإيثيريوم Ronin الذي تم تعليقه بعد الهجوم الأسبوع الماضي.

أظهرت دراسة أجرتها وكالة الأمن ESET Research مؤخرًا أن مجموعة Lazarus من كوريا الشمالية تستغل منصات التواصل المهني وبرامج المراسلة الفورية لاستهداف المقاولين في مجالات الطيران والدفاع. ومع ذلك، لم تربط التقرير هذه التقنية مباشرة بهجوم هاكر الذي تعرضت له Sky Mavis.

أصدرت جهة أمنية أخرى في أبريل من هذا العام تحذيرًا أمنيًا، مشيرةً إلى أن مجموعة لازاروس التابعة لكوريا الشمالية تقوم باستهداف صناعة العملات الرقمية من خلال مجموعة من التطبيقات الضارة في هجمات APT موجهة. تشمل أساليبهم الرئيسية ما يلي:

1. لعب أدوار مختلفة على منصات وسائل التواصل الاجتماعي الكبرى
2. التواصل مع مطوري صناعة البلوكشين للتحضير للإجراءات التالية
3. إنشاء موقع تداول يبدو طبيعياً كغطاء لتوظيف موظفين خارجيين
4. بعد خداع مطوري البرامج لكسب ثقتهم، أرسل هجوم تصيد يحتوي على برامج ضارة

针对 هذه التهديدات، قدم خبراء الأمن الاقتراحات التالية للوقاية:

1. يجب على العاملين في الصناعة متابعة معلومات الأمن المتعلقة بالتهديدات من المنصات الكبرى المحلية والدولية عن كثب، وإجراء الفحوصات الذاتية، والحفاظ على مستوى عالٍ من اليقظة.
2. يجب على المطورين إجراء الفحوصات الأمنية اللازمة قبل تشغيل البرنامج القابل للتنفيذ
3. إنشاء آلية الثقة الصفرية لتقليل المخاطر الناتجة عن هذه التهديدات بشكل فعال
4. يجب على مستخدمي Mac/Windows الذين يستخدمون الأجهزة الفعلية الحفاظ على تشغيل حماية البرامج الأمنية في الوقت الفعلي وتحديث قاعدة الفيروسات الأحدث في الوقت المناسب.