Инженеры Axie Infinity столкнулись с ложными вакансиями, в результате которых было украдено 540 миллионов долларов США в Криптоактивах

Старший инженер Axie Infinity случайно вызвал одну из крупнейших в истории атак хакеров на криптоактивы, подавая заявку в компанию, которая позже оказалась вымышленной.

Специальная побочная цепь Ethereum Ronin для Axie Infinity в марте этого года подверглась хакерской атаке, в результате которой было потеряно до 540 миллионов долларов Криптоактивов. Хотя позже правительство США связало этот инцидент с северокорейской хакерской группировкой Lazarus, конкретные детали атаки пока не были полностью раскрыты.

Согласно сообщениям, этот инцидент возник из-за ложного объявления о вакансии. Несколько анонимных информаторов сообщили, что ранее в этом году человек, представившийся представителем одной компании, связался с сотрудниками разработчика Axie Infinity Sky Mavis через профессиональную социальную платформу и призвал их подать заявки. После нескольких раундов собеседований один из инженеров Sky Mavis получил высокооплачиваемое предложение.

Затем инженер получил поддельное уведомление о зачислении в формате PDF. После загрузки этого файла вредоносное ПО успешно проникло в систему Ronin. Хакеры вскоре захватили и контролировали 4 из 9 валидаторов в сети Ronin, всего лишь на шаг от полного контроля над всей сетью.

Sky Mavis в своем послесловии, опубликованном 27 апреля, заявил: "Наши сотрудники продолжают подвергаться высококлассным фишинговым атакам через различные социальные каналы, один из сотрудников, к сожалению, был взломан. Злоумышленники использовали полученный доступ для проникновения в ИТ-инфраструктуру компании и, таким образом, получили контроль над верификационными узлами. Этот сотрудник уже уволился."

Валидаторы выполняют несколько важных функций в блокчейне, включая создание транзакционных блоков и обновление данных о предсказателях. Ronin использует механизм "доказательства полномочий" для подписания транзакций, сосредоточив власть в руках 9 доверенных валидаторов.

Блокчейн-аналитическая компания Elliptic объяснила в блоге в апреле: "Как только 5 из 9 валидаторов одобрят, средства могут быть переведены. Злоумышленник успешно получил приватные ключи 5 валидаторов, что достаточно для кражи криптоактивов."

Тем не менее, после успешного проникновения в систему Ronin через ложные объявления о работе, хакеры контролировали только 4 из 9 валидаторов и им нужно было еще захватить одного валидатора, чтобы завершить атаку.

Sky Mavis в отчетах после инцидента раскрыла, что хакеры в конечном итоге использовали Axie DAO (организацию, поддерживающую игровую экосистему) для осуществления атаки. Sky Mavis ранее в ноябре 2021 года запрашивала помощь у DAO для обработки тяжелых торговых нагрузок.

"Axie DAO уполномочил Sky Mavis подписывать различные сделки от его имени. Это полномочие было прекращено в декабре 2021 года, но доступ к списку разрешений не был отозван," - говорится в отчете Sky Mavis. "Как только злоумышленник получит доступ к системе Sky Mavis, он сможет получить подписи от валидаторов Axie DAO."

Через месяц после хакерской атаки Sky Mavis увеличила количество валидирующих узлов до 11 и заявила, что долгосрочная цель состоит в том, чтобы иметь более 100 узлов.

Sky Mavis отказалась комментировать конкретные детали хакерской атаки. Связанные профессиональные социальные платформы также не ответили на запросы о комментариях.

Sky Mavis в начале апреля привлекла 150 миллионов долларов финансирования, организованного одной из торговых платформ. Эти средства будут использованы вместе с собственными средствами компании для компенсации пользователей, пострадавших от атаки. Компания недавно заявила, что начнет возвращать средства пользователям 28 июня. Мост Ethereum Ronin, приостановленный после хакерской атаки, также был перезапущен на прошлой неделе.

Недавно ESET Research опубликовала отчет, в котором говорится, что северокорейская организация Lazarus злоупотребляет профессиональными социальными платформами и мессенджерами для атак на подрядчиков в сфере аэрокосмической и оборонной отрасли. Однако в отчете не было установлено связи между этой техникой и хакерским инцидентом Sky Mavis.

Кроме того, в апреле этого года агентство безопасности Slow Mist выпустило предупреждение о безопасности, в котором указывалось, что северокорейская APT-группа Lazarus Group использует ряд вредоносных приложений для целенаправленных APT-атак на сектор цифровых валют. Конкретные методы включают:

1. Играть различные роли в крупнейших социальных сетях, эффективно используя принципы социальной инженерии.
2. Установить контакт с разработчиками в индустрии блокчейна для подготовки к дальнейшим действиям.
3. Создание замаскированного торгового сайта под предлогом найма сотрудников на аутсорсинг.
4. Получив доверие разработчиков, отправьте вредоносное ПО для фишинга.

В ответ на такие угрозы, Slow Mist предлагает следующие меры предосторожности:

1. Работники отрасли должны внимательно следить за информацией о безопасности на основных угрожающих платформах, проводить собственные проверки и повышать бдительность.
2. Разработчики должны провести необходимые проверки безопасности перед запуском исполняемой программы.
3. Создание механизма нулевого доверия может эффективно снизить риски, связанные с такими угрозами.
4. Рекомендуется пользователям Mac/Windows поддерживать включенную实时-защиту антивирусного программного обеспечения и своевременно обновлять вирусные базы.