Anuncios de empleo falsos provocan un importante incidente de hackeo en la industria de la encriptación

La experiencia de un ingeniero senior de Axie Infinity solicitando un trabajo provocó uno de los ataques de hackers más graves en la industria de la encriptación. Este incidente involucró la cadena lateral de Ethereum Ronin, dedicada a Axie Infinity, que perdió 540 millones de dólares en criptomonedas durante un ataque en marzo de este año. Aunque el gobierno de EE. UU. posteriormente relacionó el asunto con el grupo de hackers norcoreano Lazarus, los detalles específicos del ataque aún no se han revelado por completo.

Según se informa, este incidente está relacionado con un anuncio de empleo falso. Fuentes revelaron que a principios de este año, una persona que decía representar a una empresa contactó a empleados de Sky Mavis, el desarrollador de Axie Infinity, a través de una plataforma de redes profesionales, alentándolos a postularse para un trabajo. Después de varias rondas de entrevistas, un ingeniero de Sky Mavis recibió una oferta de trabajo con un alto salario.

Luego, el ingeniero recibió una carta de admisión en formato PDF falsificada. Tras descargar el documento, el software de Hacker logró infiltrarse en el sistema Ronin. El Hacker atacó y controló 4 de los 9 validadores en la red Ronin, a solo uno de poder controlar completamente la red.

Sky Mavis mencionó en el informe posterior del 27 de abril: "Nuestros empleados continúan siendo objeto de ataques de phishing avanzados a través de varios canales sociales, y uno de nuestros empleados fue desafortunadamente comprometido. Ese empleado ya no trabaja en la empresa. Los atacantes utilizaron el acceso obtenido para infiltrarse en la infraestructura de TI de la empresa, y así obtuvieron acceso a los nodos de validación."

Los validadores desempeñan múltiples funciones en la blockchain, incluyendo la creación de bloques de transacciones y la actualización de oráculos de datos. Ronin utiliza un sistema de "prueba de autoridad" para la firma de transacciones, concentrando el poder en manos de 9 validadores de confianza.

La empresa de análisis de blockchain Elliptic explicó: "Siempre que 5 de los 9 validadores aprueben, los fondos pueden ser transferidos. El atacante logró obtener las claves privadas de 5 validadores, lo que es suficiente para robar encriptación de activos."

Sin embargo, después de que los hackers lograron infiltrarse en el sistema Ronin a través de anuncios de reclutamiento falsos, solo controlaron 4 de los 9 validadores, y necesitaban otro validador para tener el control completo.

Sky Mavis reveló que el Hacker finalmente utilizó Axie DAO (una organización que apoya el ecosistema de juegos) para llevar a cabo el ataque. Sky Mavis había solicitado la ayuda del DAO en noviembre de 2021 para manejar una gran cantidad de transacciones.

"Axie DAO permite a Sky Mavis firmar varias transacciones en su nombre. Esta práctica se detuvo en diciembre de 2021, pero no se revocó el acceso a la lista de permisos," dijo Sky Mavis en un artículo de blog, "una vez que un atacante ingresa al sistema de Sky Mavis, puede obtener firmas de los validadores de Axie DAO."

Un mes después del ataque de los hackers, Sky Mavis aumentó el número de nodos de verificación a 11 y declaró que su objetivo a largo plazo es tener más de 100 nodos.

Sky Mavis obtuvo una financiación de 150 millones de dólares a principios de abril, liderada por una plataforma de intercambio. Estos fondos se utilizarán junto con los fondos propios de la empresa para compensar a los usuarios afectados por el ataque. La empresa anunció recientemente que comenzará a reembolsar a los usuarios el 28 de junio. El puente de Ethereum de Ronin, que se suspendió tras el ataque, también se reinició la semana pasada.

Hoy más temprano, ESET Research publicó una encuesta que revela que el grupo Lazarus de Corea del Norte está abusando de plataformas de redes sociales profesionales y de software de mensajería instantánea, dirigiéndose a contratistas de la industria aeroespacial y de defensa. Sin embargo, el informe no relacionó esta técnica con el evento de hacker de Sky Mavis.

Además, en abril de este año, una agencia de seguridad emitió un aviso de seguridad, señalando que el grupo APT de Corea del Norte, Lazarus Group, utiliza una serie de aplicaciones maliciosas para llevar a cabo ataques APT dirigidos a la industria de las criptomonedas. Sus métodos específicos incluyen:

1. Desempeñar diferentes roles en las principales redes sociales, aprovechando al máximo los principios de la ingeniería social.
2. Establecer contacto con desarrolladores de la industria de la blockchain para preparar acciones posteriores.
3. Incluso establecen sitios web de comercio que parecen normales, utilizando la contratación de empleados como pretexto.
4. Engañar la confianza de los desarrolladores y enviar software malicioso para ataques de phishing.

Para este tipo de eventos, los expertos en seguridad sugieren:

1. Los profesionales de la industria deben prestar atención a la inteligencia de seguridad de las principales plataformas de amenazas, realizar autoevaluaciones y mantenerse alerta.
2. Los desarrolladores deben realizar las verificaciones de seguridad necesarias antes de ejecutar el programa ejecutable.
3. Implementar un mecanismo de cero confianza para reducir eficazmente el riesgo de amenazas relacionadas.
4. Los usuarios de Mac/Windows deben mantener el software de seguridad con protección en tiempo real activada y actualizar la base de virus regularmente.