Ложные вакансии привели к серьезному инциденту с шифрованием в индустрии

Опыт работы старшего инженера Axie Infinity в процессе подачи заявки на работу вызвал одно из самых серьезных нападений хакеров в криптоиндустрии. Этот инцидент связан с Эфириум-сайдчейном Ronin, который потерял 540 миллионов долларов в криптовалюте в результате атаки в марте этого года. Хотя позже правительство США связало этот инцидент с хакерской группировкой Лазарь из Северной Кореи, конкретные детали атаки еще не были полностью раскрыты.

Согласно имеющейся информации, этот инцидент связан с ложным рекламным объявлением о найме. Источники сообщают, что позже в этом году человек, представившийся представителем одной компании, связался с сотрудниками разработчика Axie Infinity Sky Mavis через профессиональную социальную сеть, побуждая их подавать заявки на работу. После нескольких раундов собеседований один из инженеров Sky Mavis получил предложение о высокооплачиваемой работе.

Затем инженер получил поддельное письмо о зачислении в формате PDF. После загрузки документа, шифрование успешно проникло в систему Ronin. Хакер сразу же атаковал и контролировал 4 из 9 валидаторов в сети Ronin, всего лишь на один шаг от полного контроля над сетью.

Sky Mavis в своем отчете после инцидента от 27 апреля упомянула: "Наши сотрудники продолжают подвергаться различным высокоуровневым фишинговым атакам через социальные каналы, один из сотрудников, к сожалению, был скомпрометирован. Этот сотрудник больше не работает в компании. Злоумышленники использовали полученный доступ для проникновения в IT-инфраструктуру компании и получения доступа к узлам проверки."

Валидатор выполняет несколько функций в блокчейне, включая создание транзакционных блоков и обновление данных о предсказателе. Ronin использует систему "доказательства полномочий" для подписания транзакций, сосредоточив власть в руках 9 доверенных валидаторов.

Блокчейн-аналитическая компания Elliptic объясняет: "Как только 5 из 9 валидаторов одобрят, средства могут быть переведены. Хакеры успешно получили приватные ключи 5 валидаторов, чего достаточно для кражи шифрование-активов."

Однако, после того как Хакер успешно проник в систему Ronin через поддельные вакансии, он смог контролировать только 4 из 9 валидаторов и ему нужен еще один валидатор для полного контроля.

Sky Mavis раскрыла, что Хакер в конечном итоге использовал Axie DAO (организацию, поддерживающую игровую экосистему) для совершения атаки. Sky Mavis ранее в ноябре 2021 года запрашивал помощь у DAO в обработке большого объема транзакций.

"Axie DAO позволяет Sky Mavis подписывать различные сделки от его имени. Эта практика была прекращена в декабре 2021 года, но доступ к списку разрешений не был отменен," - говорится в блоге Sky Mavis, "как только хакер получает доступ к системе Sky Mavis, он может получить подписи от валидаторов Axie DAO."

Через месяц после хакерской атаки Sky Mavis увеличила количество узлов проверки до 11 и заявила, что долгосрочной целью является наличие более 100 узлов.

Sky Mavis получила финансирование в размере 150 миллионов долларов, которое возглавила одна из торговых платформ в начале апреля. Эти средства будут использованы вместе с собственными средствами компании для компенсации пользователям, пострадавшим от атак. Компания недавно объявила, что начнет возвращать средства пользователям с 28 июня. Эфирный мост Ronin, приостановленный после атаки Хакера, также был перезапущен на прошлой неделе.

Сегодня ранее ESET Research опубликовала исследование, которое раскрывает, что северокорейская организация Lazarus злоупотребляет профессиональными социальными платформами и программным обеспечением для мгновенного обмена сообщениями, нацеливаясь на подрядчиков в области аэрокосмической и оборонной промышленности. Однако в отчете не связывается эта технология с инцидентом с хакерами Sky Mavis.

Кроме того, в апреле этого года одно из агентств по безопасности выпустило предупреждение о безопасности, в котором сообщается, что северокорейская группа APT Lazarus Group использует ряд вредоносных приложений для целевых APT-атак на индустрию цифровых валют. Конкретные методы включают:

1. Играйте разные роли в крупных социальных сетях, максимально используя принципы социальной инженерии.
2. Наладить контакт с разработчиками в области блокчейна для подготовки к дальнейшим действиям.
3. Даже создают сайты для торговли, которые выглядят нормально, под предлогом набора сотрудников и т.д.
4. Обманув доверие разработчиков, отправьте вредоносное ПО для фишинга.

По поводу таких событий эксперты по безопасности рекомендуют:

1. Работники отрасли должны внимательно следить за безопасной информацией на крупных угрожающих платформах, проводить самооценку и сохранять бдительность.
2. Разработчики перед запуском исполняемой программы должны провести необходимые проверки безопасности.
3. Реализовать механизм нулевого доверия, эффективно снизить связанные риски угроз.
4. Пользователи Mac/Windows должны поддерживать активную защиту программного обеспечения и своевременно обновлять базы вирусов.