أصبح التوظيف الوهمي شرارة أكبر حادث هاكر في صناعة التشفير

قام مهندس أقدم في Axie Infinity بالتقدم للانضمام إلى شركة تبين لاحقًا أنها وهمية، مما أثار واحدة من أسوأ حوادث هاكر في صناعة التشفير.

تعرضت سلسلة الكتل الجانبية الخاصة بـ Axie Infinity والتي تعمل على الإيثريوم، Ronin، لهجوم هاكر في مارس من هذا العام، مما أدى إلى خسارة تصل إلى 540 مليون دولار من التشفير. على الرغم من أن الحكومة الأمريكية ربطت لاحقاً هذا الحدث بمجموعة الهاكرز الكورية الشمالية Lazarus، إلا أن التفاصيل المحددة للهجوم لم تُكشف بالكامل بعد.

وفقًا للتقارير، فإن هذه الحادثة مرتبطة ارتباطًا وثيقًا بإعلان توظيف مزيف. وقد كشف مصدر مطلع أنه في وقت مبكر من هذا العام، اتصل شخص يدعي أنه يمثل شركة معينة بموظفي مطور لعبة Axie Infinity Sky Mavis عبر منصة التواصل الاجتماعي المهنية، مشجعًا إياهم على التقدم للوظائف. بعد عدة جولات من المقابلات، حصل أحد المهندسين في Sky Mavis على عرض عمل براتب مرتفع.

بعد ذلك، تلقى المهندس إشعار توظيف مزيف بصيغة PDF. بعد تحميل الوثيقة، تمكن برنامج الهاكر من اختراق نظام رونين. هاجم الهاكر على الفور وتحكم في 4 من 9 مدققين على شبكة رونين، وكان على بعد خطوة واحدة فقط من السيطرة الكاملة على الشبكة بأكملها.

قالت شركة Sky Mavis في تحليلها بعد الحادث الذي تم إصداره في 27 أبريل: "يستمر موظفونا في التعرض لهجمات تصيد متقدمة عبر قنوات التواصل الاجتماعي، وقد وقع أحد الموظفين ضحية لذلك. استغل المهاجمون الوصول الذي حصلوا عليه لاختراق البنية التحتية لتكنولوجيا المعلومات في الشركة، مما سمح لهم بالتحكم في عقد التحقق. الموظف قد غادر الشركة الآن."

تتحمل المدققون عدة وظائف هامة في سلسلة الكتل، بما في ذلك إنشاء كتل المعاملات وتحديث بيانات الوسيط. تعتمد Ronin آلية "إثبات السلطة"، حيث يتم تركيز السلطة في أيدي 9 مدققين موثوقين.

شركة تحليل البلوكشين Elliptic شرحت: "طالما أن 5 من 9 من المدققين قد وافقوا، يمكن تحويل الأموال. تمكن المهاجمون من الحصول على مفاتيح خاصة لـ 5 من المدققين، مما يكفي لسرقة الأصول المشفرة."

ومع ذلك، تمكن هاكر من التسلل إلى نظام Ronin من خلال توظيف مزيف، حيث سيطر فقط على 4 من 9 مدققين، ولا يزال يحتاج إلى مدقق آخر للسيطرة الكاملة.

كشفت Sky Mavis في تقريرها أن الهاكر تمكن في النهاية من استغلال Axie DAO (وهي منظمة تدعم نظام اللعبة البيئي) لإتمام الهجوم. كانت Sky Mavis قد طلبت في نوفمبر 2021 من DAO المساعدة في التعامل مع حمل المعاملات الثقيل.

"Axie DAO تخول Sky Mavis تمثيلها في توقيع مختلف المعاملات. على الرغم من أن هذه التفويض توقفت في ديسمبر 2021، إلا أن حق الوصول إلى قائمة الترخيص لم يتم سحبه،" أوضحت Sky Mavis. "بمجرد دخول المهاجم إلى نظام Sky Mavis، يمكنه الحصول على التوقيع من المدققين في Axie DAO."

بعد شهر من حدوث حدث الهاكر، زادت Sky Mavis عدد العقد المصدق عليها إلى 11، وأشارت إلى أن الهدف على المدى الطويل هو امتلاك أكثر من 100 عقدة.

حصلت Sky Mavis في أوائل أبريل على تمويل قدره 150 مليون دولار بقيادة منصة تداول معينة. ستستخدم هذه الأموال جنبًا إلى جنب مع أموال الشركة لتعويض المستخدمين المتأثرين بالهجوم. أعلنت الشركة مؤخرًا أنها ستبدأ في إعادة الأموال للمستخدمين في 28 يونيو. كما أعيد تشغيل جسر إيثيريوم Ronin الذي تم تعليقه سابقًا بسبب هجوم هاكر الأسبوع الماضي.

مؤخراً، أصدرت وكالة أبحاث أمنية تقريراً يكشف عن استغلال منظمة Lazarus الكورية الشمالية منصات التواصل الاجتماعي المهنية وبرامج المراسلة الفورية، لاستهداف مقاولي الفضاء والدفاع. على الرغم من أن التقرير لم يربط بشكل مباشر هذه التقنية بحادث هاكر Sky Mavis، إلا أنه أثار اهتماماً واسعاً في الصناعة.

أصدرت وكالة أمنية أخرى تحذيرًا أمنيًا في أبريل من هذا العام، مشيرة إلى أن مجموعة Lazarus التابعة لكوريا الشمالية تستخدم مجموعة من التطبيقات الخبيثة لاستهداف صناعة العملات الرقمية من خلال هجمات APT موجهة. تشمل أساليبهم الرئيسية ما يلي:

1. لعب أدوار محددة على منصات وسائل التواصل الاجتماعي الكبرى
2. التواصل مع مطوري صناعة التشفير
3. إنشاء موقع تجارة يبدو طبيعياً، تحت غطاء توظيف موظفين متعاقدين.
4. بعد الحصول على ثقة المطورين، أرسل برامج ضارة لشن هجوم تصيد

بالنسبة لهذه التهديدات، ينصح خبراء الأمن:

1. يجب على العاملين في الصناعة متابعة منصات تهديدات المعلومات المحلية والدولية عن كثب، وإجراء فحص ذاتي جيد.
2. يجب على المطورين إجراء الفحوصات الأمنية اللازمة قبل تشغيل البرنامج القابل للتنفيذ
3. إنشاء آلية انعدام الثقة، وتقليل المخاطر بفعالية
4. يجب على مستخدمي Mac/Windows الحفاظ على تشغيل حماية البرامج الأمنية في الوقت الفعلي وتحديث قاعدة بيانات الفيروسات في الوقت المناسب.