Les fausses offres d'emploi deviennent le principal déclencheur des plus grands incidents de hacking dans l'industrie du chiffrement.

Un ingénieur senior d'Axie Infinity a postulé pour rejoindre une entreprise qui s'est ensuite révélée être fictive, cet acte a déclenché l'un des incidents de piratage les plus graves de l'industrie du chiffrement.

La chaîne latérale Ethereum dédiée à Axie Infinity, Ronin, a été victime d'un Hacker en mars de cette année, entraînant une perte de 540 millions de dollars en chiffrement. Bien que le gouvernement américain ait par la suite lié cet incident au groupe de hackers nord-coréen Lazarus, les détails spécifiques de l'attaque n'ont pas encore été entièrement divulgués.

Selon des sources, cet incident est étroitement lié à une fausse annonce de recrutement. Des personnes bien informées ont révélé qu'au début de cette année, une personne se présentant comme représentant d'une certaine entreprise a contacté des employés de Sky Mavis, le développeur d'Axie Infinity, via une plateforme de réseau professionnel, les encourageant à postuler. Après plusieurs entretiens, un ingénieur de Sky Mavis a reçu une offre d'emploi bien rémunérée.

Ensuite, l'ingénieur a reçu une lettre d'embauche falsifiée au format PDF. Après avoir téléchargé ce document, le logiciel de hacker a réussi à s'infiltrer dans le système de Ronin. Les hackers ont immédiatement attaqué et contrôlé 4 des 9 validateurs sur le réseau Ronin, à un pas de prendre complètement le contrôle de tout le réseau.

Sky Mavis a déclaré dans une analyse post-incident publiée le 27 avril : "Nos employés continuent de subir diverses attaques de phishing avancées sur les canaux sociaux, et l'un de nos employés a malheureusement été touché. Les attaquants ont utilisé l'accès obtenu pour infiltrer l'infrastructure informatique de l'entreprise, prenant ainsi le contrôle des nœuds de validation. Cet employé a depuis quitté l'entreprise."

Les validateurs jouent plusieurs rôles importants dans la blockchain, notamment la création de blocs de transactions et la mise à jour des oracles de données. Ronin utilise un mécanisme de "preuve d'autorité" qui concentre le pouvoir entre les mains de 9 validateurs de confiance.

La société d'analyse de blockchain Elliptic a expliqué : "Dès que 5 des 9 validateurs approuvent, des fonds peuvent être transférés. L'attaquant a réussi à obtenir les clés privées de 5 validateurs, ce qui est suffisant pour voler des actifs en chiffrement."

Cependant, le Hacker a infiltré le système Ronin par le biais de fausses offres d'emploi et n'a contrôlé que 4 des 9 validateurs, il lui faut encore un autre validateur pour prendre le contrôle total.

Sky Mavis a révélé dans son rapport que le Hacker a finalement utilisé l'Axie DAO (une organisation qui soutient l'écosystème de jeu) pour réaliser l'attaque. Sky Mavis avait demandé l'aide du DAO en novembre 2021 pour gérer une charge de transactions lourde.

"Axie DAO autorise Sky Mavis à signer diverses transactions en son nom. Bien que cette autorisation ait été suspendue en décembre 2021, l'accès à la liste des autorisations n'a pas été révoqué, " a expliqué Sky Mavis. "Une fois que l'attaquant a pénétré dans le système de Sky Mavis, il peut obtenir des signatures du validateur Axie DAO."

Un mois après l'incident du hacker, Sky Mavis a porté le nombre de nœuds de validation à 11 et a déclaré que l'objectif à long terme était d'en avoir plus de 100.

Sky Mavis a obtenu début avril un financement de 150 millions de dollars dirigé par une plateforme d'échange. Ces fonds seront utilisés en conjonction avec les fonds propres de l'entreprise pour indemniser les utilisateurs affectés par l'attaque. La société a récemment annoncé qu'elle commencerait à rembourser les utilisateurs le 28 juin. Le pont Ethereum Ronin, qui avait été suspendu en raison d'une attaque de Hacker, a également été relancé la semaine dernière.

Récemment, une agence de recherche en sécurité a publié un rapport d'enquête, révélant que le groupe Lazarus de Corée du Nord abuse des plateformes de réseaux sociaux professionnels et des logiciels de messagerie instantanée pour cibler des entrepreneurs en aérospatiale et en défense. Bien que le rapport n'ait pas directement lié cette technique à l'incident de piratage de Sky Mavis, il a suscité une large attention au sein de l'industrie.

Une autre agence de sécurité a publié un avertissement de sécurité dès avril de cette année, indiquant que le groupe APT Lazarus de Corée du Nord utilise une série d'applications malveillantes pour mener des attaques APT ciblées sur l'industrie des cryptomonnaies. Leurs principaux moyens incluent :

1. Jouer un rôle spécifique sur les principales plateformes de médias sociaux
2. Établir des contacts avec les développeurs de l'industrie de la blockchain
3. Établir un site de commerce apparemment normal, sous le prétexte de recruter des employés en sous-traitance.
4. Après avoir gagné la confiance des développeurs, envoyer des logiciels malveillants pour des attaques de phishing.

Pour faire face à ce type de menace, les experts en sécurité recommandent :

1. Les professionnels de l'industrie doivent porter une attention particulière aux plateformes de renseignement sur les menaces nationales et internationales, et effectuer un auto-examen.
2. Les développeurs doivent effectuer les vérifications de sécurité nécessaires avant d'exécuter le programme.
3. Établir un mécanisme de zéro confiance pour réduire efficacement les risques.
4. Les utilisateurs de Mac/Windows doivent garder la protection en temps réel de leur logiciel de sécurité activée et mettre à jour régulièrement la base de données des virus.