Annonces de recrutement frauduleuses entraînant un événement majeur de hacking dans l'industrie du chiffrement

L'expérience d'un ingénieur senior d'Axie Infinity postulant pour un emploi a déclenché l'une des pires attaques de hackers dans le secteur du chiffrement. Cet incident impliquait la sidechain Ethereum dédiée à Axie Infinity, Ronin, qui a perdu 540 millions de dollars de cryptomonnaies lors d'une attaque en mars de cette année. Bien que le gouvernement américain ait ensuite lié cette affaire au groupe de hackers nord-coréen Lazarus, les détails spécifiques de l'attaque n'ont pas encore été entièrement divulgués.

Selon des informations, cet incident est lié à une fausse annonce de recrutement. Des sources ont révélé qu'au début de cette année, une personne se présentant comme représentant une certaine entreprise a contacté un employé de Sky Mavis, le développeur d'Axie Infinity, via un réseau social professionnel, les encourageant à postuler pour un emploi. Après plusieurs tours d'entretiens, un ingénieur de Sky Mavis a reçu une offre d'emploi bien rémunérée.

Ensuite, l'ingénieur a reçu une lettre d'admission au format PDF falsifiée. Après avoir téléchargé le document, le logiciel de chiffrement a réussi à s'infiltrer dans le système Ronin. Le hacker a immédiatement attaqué et contrôlé 4 des 9 validateurs sur le réseau Ronin, à un seul de pouvoir contrôler complètement le réseau.

Sky Mavis a mentionné dans son rapport d'incident du 27 avril : "Nos employés continuent de subir diverses attaques de phishing avancées sur les réseaux sociaux, et un de nos employés a malheureusement été compromis. Cet employé n'est plus en poste dans l'entreprise. Les attaquants ont utilisé l'accès obtenu pour infiltrer l'infrastructure informatique de l'entreprise et ont ainsi acquis un accès aux nœuds de validation."

Les validateurs jouent plusieurs rôles dans la blockchain, y compris la création de blocs de transactions et la mise à jour des oracles de données. Ronin utilise un système de "preuve d'autorité" pour la signature des transactions, concentrant le pouvoir entre les mains de 9 validateurs de confiance.

La société d'analyse de blockchain Elliptic a expliqué : "Tant que 5 des 9 validateurs approuvent, les fonds peuvent être transférés. L'attaquant a réussi à obtenir les clés privées de 5 validateurs, ce qui est suffisant pour voler des actifs en chiffrement."

Cependant, après avoir réussi à infiltrer le système Ronin par le biais d'annonces d'emploi frauduleuses, le Hacker n'a contrôlé que 4 des 9 validateurs et avait besoin d'un autre validateur pour prendre complètement le contrôle.

Sky Mavis a révélé que le Hacker a finalement utilisé l'Axie DAO (une organisation qui soutient l'écosystème de jeu) pour réaliser l'attaque. Sky Mavis avait demandé l'aide du DAO en novembre 2021 pour traiter un grand nombre de transactions.

"Axie DAO permet à Sky Mavis de signer diverses transactions en son nom. Cette pratique a cessé en décembre 2021, mais l'accès à la liste des permissions n'a pas été révoqué," a déclaré Sky Mavis dans un article de blog, "Une fois que l'attaquant est entré dans le système de Sky Mavis, il peut obtenir des signatures des validateurs d'Axie DAO."

Un mois après l'attaque des hackers, Sky Mavis a augmenté le nombre de nœuds de validation à 11 et a déclaré que l'objectif à long terme est d'avoir plus de 100 nœuds.

Sky Mavis a obtenu début avril un financement de 150 millions de dollars dirigé par une certaine plateforme d'échange. Ces fonds seront utilisés avec les fonds propres de l'entreprise pour indemniser les utilisateurs affectés par l'attaque. L'entreprise a récemment annoncé qu'elle commencerait à rembourser les utilisateurs le 28 juin. Le pont Ethereum Ronin, suspendu après l'attaque des hackers, a également été relancé la semaine dernière.

Aujourd'hui plus tôt, ESET Research a publié une enquête révélant que le groupe Lazarus de Corée du Nord abuse des plateformes de réseaux sociaux professionnels et des logiciels de messagerie instantanée pour cibler les entrepreneurs en aérospatiale et en défense. Cependant, le rapport n'a pas établi de lien entre cette technique et l'incident de piratage de Sky Mavis.

De plus, en avril de cette année, une agence de sécurité a publié un avertissement de sécurité, indiquant que le groupe APT nord-coréen Lazarus Group menait des attaques APT ciblées contre l'industrie de la cryptomonnaie en utilisant une série d'applications malveillantes. Les méthodes spécifiques comprennent :

1. Jouer différents rôles sur les principaux réseaux sociaux et tirer pleinement parti des principes de l'ingénierie sociale.
2. Établir des contacts avec les développeurs de l'industrie de la blockchain pour préparer les actions futures.
3. Même établir des sites de transaction apparemment normaux, sous prétexte de recruter des employés sous-traités.
4. Après avoir trompé la confiance des développeurs, envoyer des logiciels malveillants pour mener des attaques de phishing.

Concernant ce type d'événements, les experts en sécurité recommandent :

1. Les professionnels de l'industrie doivent prêter une attention particulière aux renseignements sur la sécurité des grandes plateformes de menaces, effectuer des auto-inspections et rester vigilants.
2. Les développeurs doivent effectuer les vérifications de sécurité nécessaires avant d'exécuter le programme exécutable.
3. Mettre en œuvre un mécanisme de zéro confiance pour réduire efficacement les risques de menaces associés.
4. Les utilisateurs de Mac/Windows doivent maintenir la protection en temps réel de leur logiciel de sécurité activée et mettre à jour régulièrement la base de données antivirus.