Старший інженер Axie Infinity став ймовірним каталізатором хакерських атак

Досвід пошуку роботи старшого інженера Axie Infinity спричинив одну з найбільших атак хакерів у криптоіндустрії. Цей інженер випадково подав заявку на посаду у вигаданій компанії, що призвело до серйозної уразливості безпеки спеціальної ефірної бічної лінії Axie Infinity Ronin.

Цього року в березні Ronin зазнав хакерської атаки, внаслідок якої було втрачено до 540 мільйонів доларів криптовалюти. Хоча уряд США згодом пов'язав цю справу з північнокорейською хакерською організацією Lazarus, конкретні деталі атаки ще не були повністю оприлюднені.

Відомо, що цей інцидент виник через фальшиву вакансію. Джерела повідомляють, що на початку цього року особа, яка стверджувала, що представляє певну компанію, зв'язалася з працівниками розробника Axie Infinity Sky Mavis через професійну соціальну мережу, заохочуючи їх подавати заявки на роботу. Після кількох раундів співбесід один з інженерів Sky Mavis отримав високооплачувану посаду.

Потім цей інженер отримав фальшиве повідомлення про прийом на роботу у форматі PDF. Після завантаження цього файлу, хакерське програмне забезпечення успішно проникло в систему Ronin. Хакер одразу ж атакував і захопив чотири з дев'яти валідаторів у мережі Ronin, лише на один валідатор менше, щоб повністю контролювати всю мережу.

Sky Mavis у звіті, опублікованому 27 квітня, зазначила: "Наші співробітники постійно стикаються з різноманітними висококласними фішинг-атаками в соціальних мережах, одна з яких, на жаль, призвела до зламу одного з співробітників. Цей співробітник наразі залишив компанію. Зловмисники використали отримані дозволи для проникнення в IT-інфраструктуру Sky Mavis та отримали контроль над валідаторами."

У блокчейні валідатори відповідають за створення транзакційних блоків та оновлення даних оракулів та інші функції. Ronin використовує систему "доказу авторитету" для підписання транзакцій, зосереджуючи владу в руках дев'яти довірених валідаторів.

Компанія з аналізу блокчейнів Elliptic пояснила: "Якщо п'ять з дев'яти валідаторів дадуть згоду, можна перевести кошти. Зловмисник успішно отримав приватні ключі п'яти валідаторів, що достатньо для викрадення криптоактивів."

Хоча хакер через фальшиві вакансії успішно проник у систему Ronin, вони контролювали лише чотирьох з дев'яти валідаторів і їм потрібен ще один валідатор для повного контролю.

Sky Mavis у звіті повідомила, що хакер врешті-решт скористався Axie DAO (організацією, що підтримує ігрову екосистему), щоб здійснити атаку. Sky Mavis у листопаді 2021 року звернулася до DAO за допомогою у вирішенні великого обсягу транзакцій.

"Axie DAO дозволяє Sky Mavis підписувати різні угоди від імені себе. Ця практика була зупинена в грудні 2021 року, але доступ до списку дозволів не був відкликаний," пояснив Sky Mavis, "як тільки зловмисники отримають доступ до системи Sky Mavis, вони зможуть отримати підписи від валідаторів Axie DAO."

Через місяць після хакерської атаки Sky Mavis збільшила кількість своїх верифікаційних вузлів до 11 і заявила, що її довгостроковою метою є наявність більше 100 вузлів.

Sky Mavis завершила фінансування в 150 мільйонів доларів США, яке очолила одна з торгових платформ, на початку квітня. Ці кошти будуть використані разом із власними коштами компанії для компенсації користувачів, постраждалих від атаки. Компанія нещодавно оголосила, що 28 червня почне повертати кошти користувачам. Міст Ethereum Ronin, який було призупинено після атаки хакера, також було знову запущено на минулому тижні.

Нещодавнє дослідження, проведене дослідницьким агентством ESET, показало, що північнокорейська організація Lazarus зловживає професійними соціальними мережами та програмами миттєвих повідомлень, атакуючи підрядників у сфері авіації та оборони. Проте в звіті не було встановлено прямого зв'язку між цією технікою та хакерською атакою, яку зазнав Sky Mavis.

Інша безпекова установа в квітні цього року опублікувала попередження про безпеку, в якому зазначалося, що північнокорейська APT-організація Lazarus Group використовує ряд шкідливих додатків для націлених APT-атак на індустрію цифрових валют. Їхні основні засоби включають:

1. Виступати в різних ролях на великих соціальних медіа платформах
2. Спілкуватися з розробниками у сфері блокчейн для підготовки до подальших дій
3. Створити сайт для торгівлі, який виглядає нормальним, під виглядом найму аутсорсингових співробітників
4. Отправка фішингової атаки з шкідливим програмним забезпеченням після отримання довіри розробників

Щодо цієї категорії загроз, експерти з безпеки пропонують такі запобіжні заходи:

1. Працівники галузі повинні уважно стежити за безпековою інформацією з великих загрозливих платформ в Україні та за кордоном, проводити власні перевірки та підтримувати високу пильність.
2. Розробники перед запуском виконуваних програм повинні обов'язково провести необхідні перевірки безпеки
3. Встановлення механізму нульового довіри, що ефективно знижує ризики, пов'язані з такими загрозами
4. Користувачі Mac/Windows, які використовують фізичні комп'ютери, повинні підтримувати активний захист програмного забезпечення безпеки в реальному часі та своєчасно оновлювати останні вірусні бази.