Recrutamento falso torna-se o maior desencadeador de eventos de Hacker na indústria de encriptação

Um engenheiro sênior da Axie Infinity candidatou-se a uma empresa que mais tarde foi confirmada como fictícia, um movimento que desencadeou um dos mais graves incidentes de hackers na indústria de encriptação.

A sidechain Ethereum dedicada ao Axie Infinity, Ronin, sofreu um ataque de hacker em março deste ano, resultando em perdas de até 540 milhões de dólares em encriptação. Embora o governo dos Estados Unidos tenha posteriormente vinculado este incidente ao grupo de hackers da Coreia do Norte, Lazarus, os detalhes específicos do ataque ainda não foram totalmente divulgados.

Segundo informações, este incidente está intimamente relacionado com um anúncio de emprego falso. Fontes próximas revelaram que, no início deste ano, uma pessoa que se dizia representar uma determinada empresa contatou um funcionário da Sky Mavis, desenvolvedora do Axie Infinity, através de uma plataforma de redes sociais profissionais, incentivando-o a candidatar-se a um emprego. Após várias entrevistas, um engenheiro da Sky Mavis recebeu uma oferta salarial elevada.

Em seguida, o engenheiro recebeu uma carta de oferta falsificada em formato PDF. Após baixar o documento, o Hacker conseguiu infiltrar-se no sistema do Ronin. O Hacker então atacou e controlou 4 dos 9 validadores na rede Ronin, faltando apenas um passo para assumir o controle total da rede.

A Sky Mavis afirmou na análise pós-evento divulgada em 27 de abril: "Os nossos funcionários continuam a ser alvo de ataques de phishing avançados em várias redes sociais, e um dos nossos colaboradores infelizmente caiu na armadilha. Os atacantes aproveitaram o acesso obtido para penetrar na infraestrutura de TI da empresa, controlando assim os nós de validação. Esse colaborador já não faz parte da empresa."

Os validadores desempenham várias funções importantes na blockchain, incluindo a criação de blocos de transações e a atualização de oráculos de dados. O Ronin adota um mecanismo de "prova de autoridade", concentrando o poder em 9 validadores de confiança.

A empresa de análise de blockchain Elliptic explicou: "Desde que 5 dos 9 validadores aprovem, os fundos podem ser transferidos. O atacante conseguiu obter as chaves privadas de 5 validadores, o que é suficiente para roubar encriptação."

No entanto, os hackers, após infiltrarem o sistema Ronin através de recrutamento falso, controlaram apenas 4 dos 9 validadores, precisando de mais um validador para ter controle total.

Sky Mavis revelou no relatório que o Hacker acabou por aproveitar o Axie DAO (uma organização que apoia o ecossistema do jogo) para realizar o ataque. A Sky Mavis havia solicitado em novembro de 2021 a ajuda do DAO para lidar com a carga pesada de transações.

"Axie DAO autorizou a Sky Mavis a assinar várias transações em seu nome. Embora essa autorização tenha sido suspensa em dezembro de 2021, o acesso à lista de permissões não foi revogado," explicou a Sky Mavis. "Uma vez que o hacker entra no sistema da Sky Mavis, ele pode obter assinaturas do validador do Axie DAO."

Um mês após o incidente do hacker, a Sky Mavis aumentou o número de nós de validação para 11 e afirmou que o objetivo a longo prazo é ter mais de 100 nós.

A Sky Mavis obteve no início de abril um financiamento de 150 milhões de dólares liderado por uma plataforma de negociação. Esses fundos serão usados, juntamente com os fundos próprios da empresa, para compensar os usuários afetados pelo ataque. A empresa anunciou recentemente que começará a devolver os fundos aos usuários no dia 28 de junho. A ponte Ethereum Ronin, que havia sido suspensa devido ao ataque do hacker, também foi reiniciada na semana passada.

Recentemente, uma empresa de pesquisa em segurança publicou um relatório de investigação, revelando que o grupo Lazarus da Coreia do Norte está abusando de plataformas de redes sociais profissionais e software de mensagens instantâneas para atacar contratantes de aeroespacial e defesa. Embora o relatório não tenha feito uma ligação direta entre essa técnica e o incidente com o hacker da Sky Mavis, isso gerou ampla atenção na indústria.

Outra agência de segurança já emitiu um alerta de segurança em abril deste ano, apontando que o grupo APT Lazarus da Coreia do Norte está utilizando uma série de aplicativos maliciosos para realizar ataques APT direcionados à indústria de criptomoedas. Seus principais métodos incluem:

1. Desempenhar papéis específicos em várias plataformas de redes sociais
2. Estabelecer contato com desenvolvedores da indústria de blockchain
3. Criar um site de negociação aparentemente normal, disfarçado como recrutamento de funcionários externos
4. Após obter a confiança dos desenvolvedores, envie malware para ataques de phishing.

Para esse tipo de ameaça, os especialistas em segurança recomendam:

1. Os profissionais da indústria devem acompanhar de perto as plataformas de inteligência de ameaças nacionais e internacionais, realizando autoavaliações.
2. Os desenvolvedores devem realizar as verificações de segurança necessárias antes de executar o programa.
3. Estabelecer um mecanismo de zero confiança, reduzindo efetivamente o risco
4. Os utilizadores de Mac/Windows devem manter a proteção em tempo real do software de segurança ativada e atualizar regularmente a base de dados de vírus.