Anúncios de recrutamento fraudulentos levam a um grande incidente de hacker na indústria de encriptação

A experiência de um engenheiro sênior da Axie Infinity ao se candidatar a um emprego desencadeou um dos ataques de hacker mais graves da indústria de encriptação. Este incidente envolveu a sidechain de Ethereum dedicada à Axie Infinity, Ronin, que perdeu 540 milhões de dólares em criptomoeda durante um ataque em março deste ano. Embora o governo dos EUA tenha posteriormente associado o caso ao grupo de hackers norte-coreano Lazarus, os detalhes específicos do ataque ainda não foram totalmente divulgados.

De acordo com informações, este incidente está relacionado a um anúncio de recrutamento falso. Fontes revelaram que, no início deste ano, uma pessoa que se dizia representar uma certa empresa contatou um funcionário da Sky Mavis, desenvolvedora do Axie Infinity, através de uma plataforma de redes sociais profissionais, incentivando-os a se candidatar a um emprego. Após várias rodadas de entrevistas, um engenheiro da Sky Mavis recebeu uma proposta de emprego com um salário elevado.

Em seguida, o engenheiro recebeu uma carta de admissão em formato PDF falsificada. Após fazer o download do documento, o software Hacker conseguiu penetrar no sistema Ronin. O Hacker imediatamente atacou e controlou 4 dos 9 validadores na rede Ronin, faltando apenas um para ter controle total da rede.

A Sky Mavis mencionou no relatório pós-evento de 27 de abril: "Os nossos funcionários continuam a sofrer ataques de phishing avançado em várias redes sociais, e um dos nossos funcionários foi infeliz o suficiente para ser invadido. Esse funcionário já não faz parte da empresa. Os atacantes utilizaram o acesso obtido para penetrar na infraestrutura de TI da empresa, conseguindo assim acesso aos nós de validação."

Os validadores desempenham várias funções na blockchain, incluindo a criação de blocos de transações e a atualização de oráculos de dados. O Ronin adota um sistema de "prova de autoridade" para a assinatura de transações, concentrando o poder em 9 validadores confiáveis.

A empresa de análise de blockchain Elliptic explicou: "Assim que 5 dos 9 validadores aprovarem, os fundos podem ser retirados. O atacante obteve com sucesso as chaves privadas de 5 validadores, suficientes para roubar ativos encriptação."

No entanto, após os hackers invadirem com sucesso o sistema Ronin através de anúncios de recrutamento falsos, controlaram apenas 4 dos 9 validadores, precisando de mais um validador para ter controle total.

Sky Mavis divulgou que o Hacker acabou por utilizar o Axie DAO (uma organização que suporta o ecossistema de jogos) para realizar o ataque. A Sky Mavis tinha solicitado assistência ao DAO em novembro de 2021 para lidar com um grande número de transações.

"Axie DAO permite que a Sky Mavis assine várias transações em seu nome. Esta prática foi interrompida em dezembro de 2021, mas o acesso à lista de permissões não foi revogado," afirmou a Sky Mavis em um artigo de blog, "uma vez que o atacante entra no sistema da Sky Mavis, ele pode obter assinaturas dos validadores do Axie DAO."

Um mês após o ataque de Hacker, a Sky Mavis aumentou o número de nós de validação para 11 e afirmou que o objetivo a longo prazo é ter mais de 100 nós.

A Sky Mavis obteve, no início de abril, um financiamento de 150 milhões de dólares liderado por uma plataforma de negociação. Esses fundos serão utilizados juntamente com o capital próprio da empresa para compensar os usuários afetados pelo ataque. A empresa anunciou recentemente que começará a devolver os fundos aos usuários a partir de 28 de junho. A ponte Ethereum Ronin, que foi suspensa após o ataque, também foi reiniciada na semana passada.

Hoje mais cedo, a ESET Research publicou uma investigação que revela que o grupo Lazarus da Coreia do Norte está a abusar de plataformas de redes sociais profissionais e software de mensagens instantâneas, visando contratantes da indústria aeroespacial e de defesa. No entanto, o relatório não relacionou essa técnica com o incidente de hacking da Sky Mavis.

Além disso, em abril deste ano, uma agência de segurança publicou um alerta de segurança, apontando que o grupo APT da Coreia do Norte, Lazarus Group, está utilizando uma série de aplicativos maliciosos para realizar ataques APT direcionados à indústria de criptomoedas. Os métodos específicos incluem:

1. Desempenhar papéis diferentes nas principais redes sociais, aproveitando ao máximo os princípios da engenharia social.
2. Estabelecer contacto com os desenvolvedores da indústria de blockchain para preparar as ações subsequentes.
3. Até mesmo criar sites de negociação que parecem normais, usando recrutamento de funcionários terceirizados como uma fachada.
4. Após enganar a confiança dos desenvolvedores, enviar malware para ataques de phishing.

Para este tipo de eventos, os especialistas em segurança recomendam:

1. Os profissionais da indústria devem acompanhar de perto as informações de segurança das principais plataformas de ameaça, realizar autoavaliações e manter-se alerta.
2. Os desenvolvedores devem realizar as verificações de segurança necessárias antes de executar o programa executável.
3. Implementar um mecanismo de zero confiança, reduzindo efetivamente os riscos de ameaças relacionadas.
4. Os utilizadores de Mac/Windows devem manter a proteção em tempo real do software de segurança ativada e atualizar rapidamente a base de dados de vírus.