Ложные вакансии стали катализатором крупнейшего хакерского инцидента в индустрии шифрования

Старший инженер Axie Infinity подал заявку на работу в компанию, которая позже оказалась вымышленной, что стало причиной одного из самых серьезных инцидентов в шифровании.

Специальная эфириум-сайдчейн Ronin для Axie Infinity была атакована Хакером в марте этого года, в результате чего была потеряна криптовалюта на сумму до 540 миллионов долларов. Хотя правительство США позже связало этот инцидент с хакерской группировкой Северной Кореи Lazarus, конкретные детали атаки до сих пор не были полностью раскрыты.

Согласно сведениям, этот инцидент тесно связан с ложным рекламным объявлением о вакансиях. Осведомленные источники сообщили, что ранее в этом году человек, представляющийся представителем некой компании, связался с сотрудником разработчика Axie Infinity Sky Mavis через профессиональную социальную платформу, призывая их подать заявки на работу. После нескольких раундов собеседований один из инженеров Sky Mavis получил высокооплачиваемое предложение.

Затем инженер получил поддельное уведомление о приеме на работу в формате PDF. После загрузки этого документа, Хакерское программное обеспечение успешно проникло в систему Ronin. Хакер сразу же атаковал и контролировал 4 из 9 валидаторов в сети Ronin, оставшись всего в одном шаге от полного контроля над всей сетью.

Sky Mavis в отчете, опубликованном 27 апреля, заявила: "Наши сотрудники продолжают подвергаться различным высококлассным фишинговым атакам в социальных сетях, и один из сотрудников, к сожалению, попался. Злоумышленники использовали полученный доступ, чтобы проникнуть в IT-инфраструктуру компании и в дальнейшем контролировать узлы проверки. Этот сотрудник в настоящее время уволен."

Валидаторы выполняют несколько важных функций в блокчейне, включая создание транзакционных блоков и обновление данных о предсказаниях. Ronin использует механизм "доказательства власти", сосредоточив власть в руках 9 доверенных валидаторов.

Блокчейн-аналитическая компания Elliptic объяснила: "Как только 5 из 9 валидаторов одобрят, средства могут быть переведены. Нападающий успешно получил личные ключи 5 валидаторов, что достаточно для кражи шифрования активов."

Тем не менее, после проникновения в систему Ronin через поддельные вакансии, Хакер контролировал только 4 из 9 валидаторов и нуждался в еще одном валидаторе, чтобы полностью овладеть системой.

Sky Mavis в своем отчете сообщила, что Хакер в конечном итоге использовал Axie DAO (организацию, поддерживающую игровую экосистему) для проведения атаки. Sky Mavis ранее в ноябре 2021 года обращалась к DAO за помощью в обработке тяжелых объемов торгов.

"Axie DAO уполномочил Sky Mavis подписывать различные сделки от его имени. Хотя это уполномочение было прекращено в декабре 2021 года, доступ к списку лицензий не был аннулирован," объясняет Sky Mavis. "Как только злоумышленник проникает в систему Sky Mavis, он может получить подписи от валидатора Axie DAO."

Хакер событие произошло месяц назад, Sky Mavis увеличила количество узлов верификации до 11 и заявила, что долгосрочная цель - иметь более 100 узлов.

Sky Mavis в начале апреля получила финансирование в размере 150 миллионов долларов, организованное одной из торговых платформ. Эти средства будут использованы вместе с собственными средствами компании для компенсации пользователям, пострадавшим от атаки. Компания недавно объявила, что начнет возвращать деньги пользователям с 28 июня. Ранее приостановленный из-за хакерской атаки мост Ronin на основе Ethereum также был перезапущен на прошлой неделе.

Недавно одно исследовательское агентство по безопасности опубликовало отчет, в котором раскрывается, что северокорейская организация Lazarus злоупотребляет профессиональными социальными платформами и мессенджерами, атакуя подрядчиков в области аэрокосмической и оборонной промышленности. Хотя в отчете не установлена прямая связь между этой технологией и инцидентом с хакерами Sky Mavis, это вызвало широкий интерес в отрасли.

Другой безопасный орган выпустил предупреждение о безопасности еще в апреле этого года, указывая на то, что северокорейская APT-организация Lazarus Group использует ряд вредоносных приложений для целенаправленных APT-атак на цифровую валюту. Их основные методы включают:

1. Играть определенные роли на крупных социальных медиа платформах
2. Установить связь с разработчиками в области блокчейна
3. Создание на вид нормального торгового сайта под предлогом набора сотрудников на аутсорсинг.
4. Получив доверие разработчиков, отправьте вредоносное ПО для фишинговой атаки

По поводу этой угрозы эксперты по безопасности рекомендуют:

1. Представители отрасли должны внимательно следить за платформами разведки угроз как в стране, так и за рубежом, и проводить самопроверку.
2. Разработчики проводят необходимые проверки безопасности перед запуском исполняемой программы
3. Создание механизма нулевого доверия для эффективного снижения рисков
4. Пользователи Mac/Windows должны держать антивирусное программное обеспечение с активной защитой в реальном времени включенным и своевременно обновлять базы вирусов.