Engenheiro Sênior de Axie Infinity torna-se o estopim do ataque Hacker

A experiência de um engenheiro sênior da Axie Infinity em busca de emprego desencadeou um dos maiores ataques hacker da indústria cripto. Este engenheiro inadvertidamente se candidatou a uma vaga em uma empresa fictícia, o que levou a uma grave vulnerabilidade de segurança na Ronin, a sidechain do Ethereum exclusiva da Axie Infinity.

Em março deste ano, a Ronin sofreu um ataque de hacker, resultando em perdas de até 540 milhões de dólares em criptomoedas. Embora o governo dos Estados Unidos tenha posteriormente ligado o caso ao grupo de hackers norte-coreano Lazarus, os detalhes específicos do ataque ainda não foram totalmente divulgados.

Segundo informações, o incidente originou-se de um anúncio de emprego falso. Fontes revelaram que, no início deste ano, uma pessoa que se dizia representante de uma certa empresa contatou funcionários da desenvolvedora de Axie Infinity, Sky Mavis, através de uma plataforma de redes sociais profissionais, encorajando-os a se candidatar a um emprego. Após várias rodadas de entrevistas, um engenheiro da Sky Mavis conseguiu um cargo de alto salário.

Em seguida, o engenheiro recebeu uma notificação falsa de contratação em formato PDF. Após baixar este arquivo, o Hacker conseguiu infiltrar-se no sistema da Ronin. O Hacker imediatamente atacou e assumiu o controle de quatro dos nove validadores na rede Ronin, ficando a apenas um de conseguir controlar toda a rede.

A Sky Mavis afirmou no relatório pós-evento publicado em 27 de abril: "Os nossos funcionários continuam a enfrentar vários ataques de phishing avançados em diversos canais sociais, e um dos nossos funcionários infelizmente foi invadido. Esse funcionário já não faz parte da empresa. Os atacantes usaram o acesso obtido para penetrar na infraestrutura de TI da Sky Mavis e obter o controle dos nós de validação."

No blockchain, os validadores são responsáveis por criar blocos de transações e atualizar oráculos de dados, entre várias outras funções. O Ronin adota um sistema de "prova de autoridade" para a assinatura de transações, concentrando o poder em nove validadores de confiança.

A empresa de análise de blockchain Elliptic explicou: "Desde que cinco dos nove validadores aprovem, os fundos podem ser transferidos. O atacante conseguiu obter as chaves privadas de cinco validadores, suficientes para roubar ativos criptográficos."

Embora os hackers tenham conseguido infiltrar o sistema Ronin através de anúncios de emprego falsos, eles controlam apenas quatro dos nove validadores, precisando de um validador adicional para obter controle total.

A Sky Mavis revelou no relatório que o Hacker acabou por utilizar o Axie DAO (uma organização que apoia o ecossistema de jogos) para realizar o ataque. A Sky Mavis havia solicitado em novembro de 2021 a ajuda do DAO para lidar com a carga pesada de transações.

"Axie DAO permite que a Sky Mavis assine várias transações em seu nome. Esta prática foi interrompida em dezembro de 2021, mas o acesso à lista de permissões não foi revogado," explicou a Sky Mavis, "uma vez que os atacantes obtêm acesso ao sistema da Sky Mavis, eles podem obter assinaturas do validador do Axie DAO."

Um mês após o ataque de hackers, a Sky Mavis aumentou o número de seus nós de validação para 11 e afirmou que o objetivo a longo prazo é ter mais de 100 nós.

A Sky Mavis completou no início de abril um financiamento de 150 milhões de dólares liderado por uma plataforma de negociação. Esses fundos serão utilizados juntamente com os próprios recursos da empresa para compensar os usuários afetados pelo ataque. A empresa anunciou recentemente que começará a reembolsar os usuários em 28 de junho. A ponte Ethereum Ronin, que foi suspensa após o ataque, também foi reiniciada na semana passada.

Uma investigação recente publicada pela ESET Research, uma agência de segurança, revela que o grupo Lazarus da Coreia do Norte abusa de plataformas de redes sociais profissionais e softwares de mensagens instantâneas para atacar contratantes do setor aeroespacial e de defesa. No entanto, o relatório não estabelece uma ligação direta entre essa técnica e o ataque hacker sofrido pela Sky Mavis.

Outra agência de segurança emitiu um alerta de segurança em abril deste ano, apontando que o grupo APT Lazarus, da Coreia do Norte, está usando uma série de aplicativos maliciosos para realizar ataques APT direcionados à indústria de criptomoedas. Seus principais métodos incluem:

1. Desempenhar diferentes papéis em várias plataformas de redes sociais
2. Entrar em contacto e conversar com desenvolvedores da indústria de blockchain, preparando-se para ações futuras
3. Criar um site de negociação que pareça normal, sob o pretexto de recrutar funcionários terceirizados.
4. Após obter a confiança dos desenvolvedores, envie ataques de phishing contendo malware.

Para enfrentar esse tipo de ameaça, os especialistas em segurança propõem as seguintes recomendações de prevenção:

1. Os profissionais da indústria devem acompanhar de perto as informações de segurança das principais plataformas de ameaças nacionais e internacionais, realizar autoavaliações e manter alta vigilância.
2. Os desenvolvedores devem realizar as verificações de segurança necessárias antes de executar o programa executável.
3. Estabelecer um mecanismo de confiança zero para reduzir efetivamente os riscos associados a essas ameaças.
4. Os utilizadores de Mac/Windows que usam máquinas físicas devem manter a proteção em tempo real do software de segurança ativada e atualizar regularmente a base de dados de vírus mais recente.