Axie Infinity Kıdemli Mühendisi Hacker Saldırısının Kıvılcımı Oluyor

Axie Infinity'de kıdemli bir mühendis olan birinin iş başvuru tecrübesi, kripto sektöründeki en büyük siber saldırılardan birine yol açtı. Bu mühendis, yanlışlıkla kurgusal bir şirkete başvurdu ve bu da Axie Infinity'ye özel Ethereum yan zinciri Ronin'in ciddi bir güvenlik açığı yaşamasına neden oldu.

Bu yıl Mart ayında Ronin, 5.4 milyar dolar değerinde kripto para kaybına yol açan bir Hacker saldırısına uğradı. ABD hükümeti daha sonra bu durumu Kuzey Koreli Hacker grubu Lazarus ile ilişkilendirmiş olsa da, saldırının ayrıntıları henüz tamamen açıklanmamıştır.

Edinilen bilgilere göre, bu olay sahte bir iş ilanından kaynaklanıyor. İddiaya göre, bu yılın başlarında, kendisini bir şirketin temsilcisi olarak tanıtan bir kişi, Axie Infinity geliştiricisi Sky Mavis'in çalışanlarıyla profesyonel sosyal medya platformu aracılığıyla iletişime geçti ve onlara iş başvurusu yapmaları için cesaret verdi. Birkaç mülakatın ardından, bir Sky Mavis mühendisinin yüksek maaşlı bir pozisyon kazandığı bildirildi.

Sonrasında, mühendis sahte bir iş teklifini PDF formatında aldı. Bu dosyayı indirdikten sonra, Hacker yazılımı Ronin sistemine başarıyla sızdı. Hacker hemen saldırdı ve Ronin ağındaki dokuz doğrulayıcıdan dördünü ele geçirdi, böylece tüm ağı tam kontrol altına almak için sadece bir taneye ihtiyaç vardı.

Sky Mavis, 27 Nisan'da yayınladığı raporda şunları belirtti: "Çalışanlarımız, çeşitli sosyal kanallarda yüksek düzeyde kimlik avı saldırılarıyla sürekli karşılaşmakta, bu saldırılardan biri ne yazık ki bir çalışanımızın başına geldi. Bu çalışan şu anda işten ayrıldı. Saldırgan, elde ettiği erişim izinlerini kullanarak Sky Mavis'in BT altyapısına sızdı ve doğrulama düğümlerinin kontrolünü ele geçirdi."

Blockchain'de, doğrulayıcılar işlem blokları oluşturmak ve veri oracle'larını güncellemek gibi bir dizi işlevi yerine getirir. Ronin, işlemlerin imzalanması için "otorite kanıtı" sistemini kullanarak gücü dokuz güvenilir doğrulayıcının elinde toplar.

Blok zinciri analiz şirketi Elliptic, "Dokuz doğrulayıcıdan beşi onayladığı sürece fon transferi yapılabilir. Saldırganlar, beş doğrulayıcının özel anahtarlarını başarıyla elde etti, bu da kripto varlıkları çalmak için yeterliydi."

Hacker'lar sahte iş ilanlarıyla Ronin sistemine başarıyla sızsalar da, yalnızca dokuz doğrulayıcıdan dördünü kontrol edebildiler ve tamamen kontrol sağlamak için bir ek doğrulayıcıya ihtiyaçları vardı.

Sky Mavis, raporunda, hackerların Axie DAO'yu (bir oyun ekosistemini destekleyen bir organizasyon) kullanarak saldırıyı gerçekleştirdiğini açıkladı. Sky Mavis, 2021'in Kasım ayında DAO'dan yoğun işlem yükünü yönetmek için yardım istemişti.

"Axie DAO, Sky Mavis'in çeşitli işlemleri imzalaması için yetkilendirilmesine izin verir. Bu uygulama Aralık 2021'de durduruldu, ancak izin listesi erişim hakları geri alınmadı," diye açıkladı Sky Mavis, "bir saldırgan Sky Mavis sistemine erişim sağladığında, Axie DAO doğrulayıcılarından imza alabilirler."

Hacker saldırısının üzerinden bir ay geçtikten sonra, Sky Mavis doğrulayıcı düğüm sayısını 11'e çıkardı ve uzun vadeli hedefinin 100'den fazla düğüm sahibi olmak olduğunu belirtti.

Sky Mavis, bir işlem platformunun öncülüğünde 1,5 milyar dolarlık bir finansmanı Nisan ayı başında tamamladı. Bu fon, şirketin kendi kaynaklarıyla birlikte, saldırıdan etkilenen kullanıcıları tazmin etmek için kullanılacak. Şirket, fonların kullanıcılarına 28 Haziran'dan itibaren iade edilmeye başlanacağını duyurdu. Saldırıdan sonra durdurulan Ronin Ethereum köprüsü de geçen hafta yeniden faaliyete geçti.

ESET Research tarafından yakın zamanda yayınlanan bir araştırma, Kuzey Kore'nin Lazarus grubunun, havacılık ve savunma müteahhitlerine saldırmak için profesyonel sosyal medya platformlarını ve anlık mesajlaşma yazılımlarını kötüye kullandığını göstermektedir. Ancak, rapor bu tekniği Sky Mavis'in uğradığı saldırılarla doğrudan ilişkilendirmemektedir.

Başka bir güvenlik kurumu, bu yılın Nisan ayında bir güvenlik uyarısı yayınlayarak Kuzey Kore APT grubu Lazarus Group'un dijital para endüstrisine yönelik hedefli APT saldırıları için bir dizi kötü amaçlı uygulama kullandığını belirtti. Temel yöntemleri şunlardır:

1. Farklı rollerde büyük sosyal medya platformlarında yer almak
2. Blok zinciri endüstrisi geliştiricileriyle iletişim kurmak ve sonraki adımlar için hazırlık yapmak
3. Görünüşte normal bir ticaret sitesi kurarak, dış kaynak çalışanlar işe almak için bahane olarak kullanmak
4. Geliştiricilerin güvenini kazandıktan sonra, kötü amaçlı yazılım içeren bir phishing saldırısı gönderin.

Bu tür tehditlere karşı, güvenlik uzmanları aşağıdaki önlemleri önermektedir:

1. Sektör çalışanları, yurtiçi ve yurtdışındaki büyük tehdit platformlarının güvenlik istihbaratını yakından takip etmeli, kendi kendine kontrol yapmalı ve yüksek bir dikkat seviyesini korumalıdır.
2. Geliştiricilerin çalıştırılabilir programı çalıştırmadan önce gerekli güvenlik kontrollerini yapması zorunludur.
3. Sıfır güven mekanizması kurarak, bu tür tehditlerin getirdiği riskleri etkili bir şekilde azaltmak
4. Fiziksel makine kullanan Mac/Windows kullanıcıları, güvenlik yazılımının gerçek zamanlı korumasını açık tutmalı ve en son virüs veritabanını zamanında güncellemelidir.