Axie Infinity el ingeniero senior se convierte en el desencadenante del ataque del Hacker

La experiencia laboral de un ingeniero senior de Axie Infinity ha provocado uno de los ataques de hacker más grandes en la industria criptográfica. Este ingeniero, sin querer, solicitó un puesto en una empresa ficticia, lo que llevó a que la cadena lateral de Ethereum, Ronin, exclusiva de Axie Infinity, sufriera una grave vulnerabilidad de seguridad.

En marzo de este año, Ronin sufrió un ataque de hacker, perdiendo hasta 540 millones de dólares en criptomonedas. Aunque el gobierno de Estados Unidos posteriormente relacionó el incidente con el grupo de hackers norcoreano Lazarus, los detalles específicos del ataque aún no se han hecho públicos.

Se informa que este incidente se originó a partir de un anuncio de reclutamiento falso. Según fuentes, a principios de este año, una persona que decía representar a cierta empresa contactó a empleados de Sky Mavis, el desarrollador de Axie Infinity, a través de una plataforma de redes profesionales, animándolos a postularse para un trabajo. Después de varias rondas de entrevistas, un ingeniero de Sky Mavis consiguió un puesto bien remunerado.

Luego, el ingeniero recibió un aviso de contratación falso en formato PDF. Después de descargar este archivo, el Hacker logró infiltrarse en el sistema de Ronin. El Hacker atacó y tomó el control de cuatro de los nueve validadores en la red de Ronin, a solo uno de poder controlar completamente toda la red.

Sky Mavis en el informe posterior publicado el 27 de abril declaró: "Nuestros empleados continúan enfrentando ataques de phishing avanzados en varios canales sociales, y uno de nuestros empleados fue desafortunadamente comprometido. Este empleado ha dejado la empresa. Los atacantes utilizaron el acceso obtenido para infiltrarse en la infraestructura de TI de Sky Mavis y obtuvieron el control de los nodos de validación."

En la blockchain, los validadores son responsables de crear bloques de transacciones y actualizar oráculos de datos, entre otras funciones. Ronin utiliza un sistema de "prueba de autoridad" para firmar transacciones, concentrando el poder en manos de nueve validadores de confianza.

La empresa de análisis de blockchain Elliptic explicó: "Siempre que cinco de los nueve validadores aprueben, se pueden transferir fondos. El atacante logró obtener las claves privadas de cinco validadores, suficientes para robar activos criptográficos."

Aunque los hackers lograron infiltrarse en el sistema Ronin a través de anuncios de reclutamiento falsos, solo controlaron cuatro de los nueve validadores y necesitaban un validador adicional para tener el control total.

Sky Mavis reveló en su informe que el Hacker finalmente utilizó Axie DAO (una organización que apoya el ecosistema del juego) para llevar a cabo el ataque. Sky Mavis había solicitado la ayuda del DAO en noviembre de 2021 para manejar la carga de transacciones pesada.

"Axie DAO permite a Sky Mavis firmar varias transacciones en su representación. Esta práctica se detuvo en diciembre de 2021, pero el acceso a la lista de permisos no fue revocado," explicó Sky Mavis, "una vez que un hacker obtiene acceso al sistema de Sky Mavis, puede obtener firmas de los validadores de Axie DAO."

Un mes después del ataque de hackers, Sky Mavis aumentó el número de sus nodos de validación a 11 y declaró que su objetivo a largo plazo es tener más de 100 nodos.

Sky Mavis completó a principios de abril una financiación de 150 millones de dólares liderada por una plataforma de intercambio. Estos fondos se utilizarán junto con los recursos propios de la empresa para compensar a los usuarios afectados por el ataque. La compañía anunció recientemente que comenzará a reembolsar a los usuarios el 28 de junio. El puente de Ethereum de Ronin, que había sido suspendido tras el ataque, también se reinició la semana pasada.

Una investigación reciente publicada por la agencia de seguridad ESET Research muestra que el grupo Lazarus de Corea del Norte está abusando de plataformas de redes sociales profesionales y software de mensajería instantánea para atacar a contratistas de la industria aeroespacial y de defensa. Sin embargo, el informe no relaciona directamente esta técnica con el ataque hacker sufrido por Sky Mavis.

Otra agencia de seguridad emitió una advertencia de seguridad en abril de este año, señalando que el grupo APT de Corea del Norte, Lazarus Group, está utilizando una serie de aplicaciones maliciosas para llevar a cabo ataques APT dirigidos a la industria de las criptomonedas. Sus principales métodos incluyen:

1. Desempeñar diferentes roles en las principales plataformas de redes sociales
2. Contactar y hablar con los desarrolladores de la industria blockchain para prepararse para acciones futuras.
3. Establecer un sitio web de comercio que parezca normal, utilizando la contratación de empleados subcontratados como pretexto.
4. Después de ganar la confianza de los desarrolladores, enviar ataques de phishing que contengan malware.

Para hacer frente a este tipo de amenazas, los expertos en seguridad han propuesto las siguientes recomendaciones de prevención:

1. Los profesionales de la industria deben prestar atención a la información de seguridad de las principales plataformas de amenaza tanto a nivel nacional como internacional, realizar autoevaluaciones y mantener una alta vigilancia.
2. Los desarrolladores deben realizar las verificaciones de seguridad necesarias antes de ejecutar el programa ejecutable.
3. Establecer un mecanismo de cero confianza para reducir efectivamente los riesgos asociados con este tipo de amenazas.
4. Los usuarios de Mac/Windows que utilizan máquinas físicas deben mantener la protección en tiempo real del software de seguridad activada y actualizar oportunamente la última base de virus.