Sahte iş ilanları şifreleme sektöründe büyük bir Hacker olayına yol açtı

Axie Infinity'nin üst düzey bir mühendisinin iş başvurusu deneyimi, şifreleme endüstrisinin en ciddi hacker saldırılarından birine yol açtı. Bu olay, Axie Infinity'ye özel Ethereum yan zinciri Ronin'i kapsıyor ve bu yılın Mart ayında gerçekleşen bir saldırıda 540 milyon dolarlık şifreleme kaybına neden oldu. ABD hükümeti daha sonra bu olayı Kuzey Koreli hacker grubu Lazarus ile ilişkilendirmiş olsa da, saldırının özel detayları henüz tamamen açıklanmamıştır.

Edinilen bilgilere göre, bu olay sahte bir iş ilanıyla ilgili. Kaynaklar, bu yılın başlarında, kendisini bir şirketin temsilcisi olarak tanıtan bir kişinin, Axie Infinity geliştiricisi Sky Mavis'in çalışanlarıyla profesyonel sosyal medya platformu üzerinden iletişime geçerek, onlara iş başvurusu yapmaları için cesaret verdiğini ortaya koydu. Birkaç mülakatın ardından, Sky Mavis'ten bir mühendis yüksek maaşlı bir iş teklifi aldı.

Ardından, mühendis sahte bir PDF formatında kabul mektubu aldı. Belgeyi indirdikten sonra, şifreleme yazılımı Ronin sistemine sızmayı başardı. Hacker hemen Ronin ağındaki 9 doğrulayıcıdan 4'ünü saldırdı ve kontrol altına aldı, ağın tamamını ele geçirmek için sadece bir tane eksikti.

Sky Mavis, 27 Nisan'daki sonrasında raporunda şunları belirtti: "Çalışanlarımız çeşitli sosyal kanallardan ileri düzey kimlik avı saldırılarına maruz kalmaya devam ediyor, bu saldırılardan biri maalesef bir çalışanımızın hesabının ele geçirilmesine yol açtı. Bu çalışan artık şirketle çalışmamaktadır. Saldırganlar elde ettikleri erişim yetkisini kullanarak şirketin BT altyapısına sızdılar ve böylece doğrulama düğümüne erişim sağladılar."

Doğrulayıcılar, blok zincirinde işlem blokları oluşturma ve veri oracle'larını güncelleme gibi birden fazla işlev üstlenir. Ronin, işlemleri imzalamak için "otorite kanıtı" sistemini kullanarak gücü 9 güvenilir doğrulayıcıda toplar.

Blok zincir analizi şirketi Elliptic, "9 doğrulayıcıdan sadece 5'i onayladığı sürece, fonlar transfer edilebilir. Saldırganlar 5 doğrulayıcının özel anahtarını başarıyla ele geçirdi ve bu, şifreleme varlıklarını çalmak için yeterli oldu."

Ancak, bir hacker sahte iş ilanlarıyla Ronin sistemine başarılı bir şekilde girdikten sonra, yalnızca 9 doğrulayıcıdan 4'ünü kontrol edebildi ve tam kontrol için bir doğrulayıcıya daha ihtiyaç duydu.

Sky Mavis, hackerların Axie DAO'yu (bir oyun ekosistemini destekleyen bir organizasyon) kullanarak saldırıyı gerçekleştirdiğini açıkladı. Sky Mavis, 2021'in Kasım ayında DAO'dan büyük işlemleri yönetmek için yardım istemişti.

"Axie DAO, Sky Mavis'in çeşitli işlemleri imzalamasına izin verir. Bu uygulama Aralık 2021'de durduruldu, ancak izin listesi erişimini kaldırmadı," dedi Sky Mavis bir blog yazısında, "Bir saldırgan Sky Mavis sistemine girdiğinde, Axie DAO doğrulayıcısından imza alabilir."

Hacker saldırısının üzerinden bir ay geçtikten sonra, Sky Mavis doğrulayıcı düğüm sayısını 11'e çıkardı ve uzun vadeli hedefin 100'den fazla düğüm sahibi olmak olduğunu belirtti.

Sky Mavis, Nisan ayının başında bir borsa platformu tarafından öncülük edilen 150 milyon dolarlık bir finansman aldı. Bu fon, şirketin kendi kaynakları ile birlikte saldırıdan etkilenen kullanıcıların tazmini için kullanılacak. Şirket, 28 Haziran'da kullanıcılara para iadesine başlayacağını duyurdu. Saldırı sonrası durdurulan Ronin Ethereum köprüsü de geçen hafta yeniden başlatıldı.

Bugün erken saatlerde, ESET Araştırma, Kuzey Kore'nin Lazarus grubunun, havacılık ve savunma müteahhitlerine yönelik mesleki sosyal platformlar ve anlık mesajlaşma yazılımlarını kötüye kullandığını ortaya koyan bir anket yayınladı. Bununla birlikte, rapor bu teknolojiyi Sky Mavis Hacker olayıyla ilişkilendirmedi.

Ayrıca, bu yılın Nisan ayında, bir güvenlik kuruluşu bir güvenlik uyarısı yayımlayarak Kuzey Kore'nin APT grubu Lazarus Group'un dijital para endüstrisine yönelik hedefli APT saldırıları için bir dizi kötü amaçlı uygulama kullandığını belirtti. Bunun spesifik yöntemleri şunlardır:

1. Farklı sosyal medya platformlarında farklı roller üstlenin, sosyal mühendislik ilkelerinden tam olarak faydalanın.
2. Blockchain endüstrisi geliştiricileri ile bağlantı kurun, sonraki adımlar için hazırlanın.
3. Hatta dış kaynak çalışan alımı gibi bahanelerle normal görünen ticaret siteleri kurmak.
4. Geliştiricilerin güvenini kazandıktan sonra, oltalama saldırıları için kötü amaçlı yazılım gönderin.

Bu tür olaylar için güvenlik uzmanları şunları önermektedir:

1. Sektör profesyonelleri, büyük tehdit platformlarının güvenlik istihbaratını yakından takip etmeli, kendi denetimlerini yapmalı ve dikkatli olmalıdır.
2. Geliştiriciler, yürütülebilir programı çalıştırmadan önce gerekli güvenlik kontrollerini yapmalıdır.
3. Sıfır güven mekanizmasını uygulamak, ilgili tehdit risklerini etkili bir şekilde azaltır.
4. Mac/Windows gerçek kullanıcıları, güvenlik yazılımlarının gerçek zamanlı korumasını açık tutmalı ve virüs veritabanını zamanında güncellemelidir.