Высококвалифицированный инженер Axie Infinity стал катализатором хакерской атаки

Опыт поиска работы старшего инженера Axie Infinity вызвал один из крупнейших инцидентов с хакерами в криптоиндустрии. Этот инженер случайно подал заявку на вакансию в вымышленной компании, что привело к серьезной уязвимости безопасности эксклюзивной цепочки Ethereum Ronin, связанной с Axie Infinity.

В марте этого года Ronin подвергся атаке Хакера, в результате чего было потеряно до 540 миллионов долларов в криптовалюте. Хотя позже правительство США связало это с хакерской группировкой из Северной Кореи Lazarus, конкретные детали атаки еще не были полностью раскрыты.

По сообщениям, этот инцидент произошел из-за ложного объявления о вакансии. Источники сообщают, что в начале этого года человек, представившийся представителем одной компании, связался с сотрудниками разработчика Axie Infinity Sky Mavis через профессиональную социальную платформу и побудил их подать заявку на работу. После нескольких раундов собеседований один из инженеров Sky Mavis получил высокооплачиваемую должность.

Затем инженер получил поддельное уведомление о приеме на работу в формате PDF. После загрузки этого файла, Хакерское ПО успешно проникло в систему Ronin. Хакер сразу же атаковал и захватил четыре из девяти валидаторов в сети Ronin, всего на один шаг от полного контроля над всей сетью.

Sky Mavis в своем послесловии, опубликованном 27 апреля, заявил: "Наши сотрудники продолжают сталкиваться с высококлассными фишинг-атаками через различные социальные каналы, и один из сотрудников, к сожалению, стал жертвой взлома. Этот сотрудник в настоящее время уволен. Злоумышленники использовали полученные права доступа для проникновения в IT-инфраструктуру Sky Mavis и получили контроль над верификационными узлами."

В блокчейне валидаторы отвечают за создание транзакционных блоков и обновление данных оракулов и множество других функций. Ronin использует систему "доказательства полномочий" для подписания транзакций, сосредоточив власть в руках девяти доверенных валидаторов.

Блокчейн-аналитическая компания Elliptic объяснила: "Как только пять из девяти валидаторов одобрят, можно будет перевести средства. Злоумышленникам удалось получить приватные ключи пяти валидаторов, что достаточно, чтобы украсть криптоактивы."

Хотя Хакер успешно проник в систему Ronin через поддельные вакансии, они контролировали только четырех из девяти валидаторов и им нужен еще один валидатор для полного контроля.

Sky Mavis в своем отчете раскрыла, что Хакер в конечном итоге использовал Axie DAO (организацию, поддерживающую игровую экосистему) для совершения атаки. Sky Mavis ранее в ноябре 2021 года обращалась к DAO за помощью в обработке тяжелой нагрузки транзакций.

"Axie DAO позволяет Sky Mavis подписывать различные сделки от своего имени. Эта практика была прекращена в декабре 2021 года, но доступ к списку разрешений не был отозван," объяснил Sky Mavis, "как только злоумышленники получат доступ к системе Sky Mavis, они смогут получить подписи от валидаторов Axie DAO."

Через месяц после хакерской атаки Sky Mavis увеличила количество своих верификационных узлов до 11 и заявила, что долгосрочной целью является наличие более 100 узлов.

Sky Mavis завершила финансирование в размере 150 миллионов долларов в начале апреля, которое возглавила одна из торговых платформ. Эти средства будут использованы совместно с собственными средствами компании для компенсации пользователям, пострадавшим от атаки. Компания недавно объявила, что начнет возврат средств пользователям с 28 июня. Эфириум-канал Ronin, который был приостановлен после хакерской атаки, также был перезапущен на прошлой неделе.

Недавнее исследование, проведенное исследовательским учреждением ESET, показало, что северокорейская организация Lazarus злоупотребляет профессиональными социальными платформами и программами мгновенного обмена сообщениями, чтобы атаковать подрядчиков в области аэрокосмической и оборонной промышленности. Однако в отчете не была проведена прямая связь между этой технологией и хакерской атакой, которую понесла Sky Mavis.

Другие специалисты по безопасности в апреле этого года выпустили предупреждение о безопасности, в котором указали, что северокорейская APT-группа Lazarus Group использует ряд вредоносных приложений для целенаправленных APT-атак на индустрию цифровых валют. Их основные методы включают:

1. Играть разные роли на крупных социальных медиа платформах
2. Общение с разработчиками в области блокчейна для подготовки к дальнейшим действиям
3. Создание сайта для торговых операций, который выглядит нормальным, под предлогом найма подрядных работников.
4. После получения доверия разработчиков отправьте фишинговую атаку с вредоносным ПО.

В ответ на такие угрозы эксперты по безопасности предлагают следующие меры предосторожности:

1. Работники отрасли должны внимательно следить за безопасной информацией о крупных угрожающих платформах как в стране, так и за рубежом, проводить самопроверку и сохранять высокую бдительность.
2. Перед запуском исполняемой программы разработчики обязательно должны провести необходимые проверки безопасности.
3. Установить механизм нулевого доверия, чтобы эффективно снизить риски, возникающие от подобных угроз.
4. Пользователи Mac/Windows, использующие физические машины, должны держать активной защиту в реальном времени в своем программном обеспечении безопасности и своевременно обновлять последние вирусные базы.