Фальшиві вакансії стали найбільшою причиною хакерських атак у сфері шифрування

Один з провідних інженерів Axie Infinity подав заявку на приєднання до компанії, яка пізніше виявилася вигаданою, що призвело до одного з найсерйозніших інцидентів зламу в індустрії шифрування.

Спеціальна етерейська бічна лінія Ronin для Axie Infinity в березні цього року зазнала атаки хакера, в результаті якої було втрачено до 540 мільйонів доларів у шифруванні. Хоча уряд США пізніше пов’язав цей інцидент з північнокорейською хакерською групою Lazarus, конкретні деталі атаки ще не були повністю оприлюднені.

Відомо, що цей інцидент тісно пов'язаний з фальшивою вакансією. Поінформовані джерела повідомили, що на початку цього року особа, яка представилася як представник певної компанії, зв'язалася з працівниками розробника Axie Infinity Sky Mavis через професійну соціальну мережу, заохочуючи їх подавати резюме. Після кількох етапів співбесіди один інженер Sky Mavis отримав високооплачувану пропозицію.

Потім інженер отримав підроблений лист про прийом на роботу у форматі PDF. Завантаживши цей документ, хакерське програмне забезпечення успішно проникло в систему Ronin. Хакер одразу атакував і контролював 4 з 9 валідаторів у мережі Ronin, залишившись лише на крок від повного контролю над усією мережею.

Sky Mavis у звіті, опублікованому 27 квітня, заявила: "Наші співробітники постійно піддаються різноманітним висококласним фішинговим атакам через соціальні канали, один із співробітників, на жаль, потрапив у пастку. Зловмисники використали отриманий доступ для проникнення в ІТ-інфраструктуру компанії, в результаті чого контролювали вузли перевірки. Цей співробітник наразі звільнився."

Валідатори виконують кілька важливих функцій у блокчейні, включаючи створення транзакційних блоків і оновлення даних оракулів. Ronin використовує механізм "доказу повноважень", зосереджуючи владу в руках 9 довірених валідаторів.

Компанія з аналізу блокчейн Elliptic пояснила: "Якщо 5 з 9 валідаторів дадуть згоду, кошти можуть бути переведені. Зловмисники успішно отримали приватні ключі 5 валідаторів, що достатньо для викрадення шифрування активів."

Проте, після проникнення в систему Ronin через фальшиві вакансії, хакер контролював лише 4 з 9 валідаторів і потребував ще одного валідатора для повного контролю.

Sky Mavis у звіті повідомила, що Хакер врешті-решт використав Axie DAO (організацію, що підтримує ігрову екосистему) для здійснення атаки. Sky Mavis у листопаді 2021 року зверталася до DAO по допомогу у вирішенні важкого навантаження транзакцій.

"Axie DAO уповноважив Sky Mavis підписувати різні угоди від його імені. Хоча це уповноваження було припинено в грудні 2021 року, доступ до списку ліцензій не був відкликаний," – пояснив Sky Mavis. "Як тільки зловмисник отримує доступ до системи Sky Mavis, він може отримати підпис з валідаторів Axie DAO."

Хакерська подія сталася через місяць після того, як Sky Mavis збільшила кількість верифікаційних вузлів до 11, і заявила, що довгостроковою метою є мати понад 100 вузлів.

Sky Mavis отримала фінансування в розмірі 150 мільйонів доларів США на чолі з певною торговою платформою на початку квітня. Ці кошти будуть використані разом з власними коштами компанії для компенсації користувачам, яких торкнулися наслідки атаки. Нещодавно компанія повідомила, що почне повертати кошти користувачам 28 червня. Раніше призупинений через хакерську атаку міст Ethereum Ronin також був повторно запущений минулого тижня.

Нещодавно одна з дослідницьких організацій безпеки опублікувала звіт, у якому розкривається, що організація Lazarus з Північної Кореї зловживає професійними соціальними платформами та програмами миттєвого обміну повідомленнями, атакуючи підрядників у сфері аерокосмічної та оборонної промисловості. Хоча цей звіт безпосередньо не пов'язує цю технологію з хакерською атакою на Sky Mavis, це викликало широкий інтерес у галузі.

Інша безпекова агенція ще в квітні цього року опублікувала попередження про безпеку, вказуючи на те, що північнокорейська APT організація Lazarus Group використовує ряд шкідливих програм для цілеспрямованих APT атак на індустрію цифрових валют. Їхні основні засоби включають:

1. Виконання певних ролей на великих соціальних медіа платформах
2. Налагодження зв'язків з розробниками в індустрії блокчейн
3. Створення на перший погляд нормального торгового сайту, під виглядом набору співробітників на аутсорсинг
4. Отримавши довіру розробників, відправте шкідливе програмне забезпечення для фішинг-атаки

Щодо таких загроз, експерти з безпеки радять:

1. Представники галузі повинні уважно стежити за платформами розвідки загроз в Україні та за кордоном, проводити самоперевірку.
2. Розробники повинні провести необхідні заходи безпеки перед виконанням програми.
3. Встановлення механізму нульового довіри, ефективне зниження ризику
4. Користувачі Mac/Windows повинні підтримувати активний захист антивірусного програмного забезпечення та своєчасно оновлювати бази вірусів.