Quảng cáo tuyển dụng giả dẫn đến sự kiện hacker lớn trong ngành mã hóa

Một kỹ sư cao cấp của Axie Infinity đã trải qua kinh nghiệm xin việc, dẫn đến một trong những cuộc tấn công Hacker nghiêm trọng nhất trong ngành mã hóa. Sự kiện này liên quan đến chuỗi phụ Ethereum Ronin dành riêng cho Axie Infinity, đã mất 540 triệu USD mã hóa trong một cuộc tấn công vào tháng 3 năm nay. Mặc dù chính phủ Hoa Kỳ sau đó đã liên kết vụ việc này với tổ chức Hacker Lazarus của Triều Tiên, nhưng các chi tiết cụ thể về cuộc tấn công vẫn chưa được công bố hoàn toàn.

Theo thông tin, sự kiện này liên quan đến một quảng cáo tuyển dụng giả. Các nguồn tin tiết lộ rằng vào đầu năm nay, một người tự xưng là đại diện cho một công ty đã liên hệ với nhân viên của nhà phát triển Axie Infinity, Sky Mavis, qua nền tảng mạng xã hội nghề nghiệp, khuyến khích họ nộp đơn xin việc. Sau nhiều vòng phỏng vấn, một kỹ sư của Sky Mavis đã nhận được một lời mời làm việc với mức lương cao.

Sau đó, kỹ sư nhận được một bức thư chấp nhận giả mạo dưới dạng PDF. Sau khi tải tài liệu xuống, phần mềm mã hóa đã thành công thâm nhập vào hệ thống Ronin. Hacker ngay lập tức tấn công và kiểm soát 4 trong số 9 trình xác thực trên mạng Ronin, chỉ còn thiếu một cái để hoàn toàn nắm quyền kiểm soát mạng.

Sky Mavis đã đề cập trong báo cáo hậu sự kiện vào ngày 27 tháng 4: "Nhân viên của chúng tôi liên tục phải chịu đựng các cuộc tấn công lừa đảo mạng cao cấp từ nhiều kênh xã hội khác nhau, trong đó một nhân viên không may đã bị xâm nhập. Nhân viên đó không còn làm việc tại công ty. Kẻ tấn công đã lợi dụng quyền truy cập có được để xâm nhập vào cơ sở hạ tầng CNTT của công ty, từ đó có được quyền truy cập vào nút xác thực."

Các trình xác thực trong blockchain đảm nhận nhiều chức năng, bao gồm việc tạo khối giao dịch và cập nhật dữ liệu oracle. Ronin sử dụng hệ thống "chứng nhận quyền lực" để ký giao dịch, tập trung quyền lực vào 9 trình xác thực đáng tin cậy.

Công ty phân tích blockchain Elliptic giải thích: "Chỉ cần 5 trong 9 người xác thực chấp thuận, tiền có thể được chuyển đi. Kẻ tấn công đã thành công trong việc lấy được khóa riêng của 5 người xác thực, đủ để đánh cắp tài sản mã hóa."

Tuy nhiên, sau khi hacker xâm nhập thành công vào hệ thống Ronin thông qua các quảng cáo tuyển dụng giả, họ chỉ kiểm soát được 4 trong số 9 xác thực viên, và vẫn cần thêm một xác thực viên nữa để hoàn toàn kiểm soát.

Sky Mavis tiết lộ, Hacker cuối cùng đã lợi dụng Axie DAO (một tổ chức hỗ trợ hệ sinh thái trò chơi) để thực hiện cuộc tấn công. Sky Mavis từng yêu cầu DAO hỗ trợ xử lý một lượng lớn giao dịch vào tháng 11 năm 2021.

"Axie DAO cho phép Sky Mavis đại diện cho nó ký các giao dịch khác nhau. Thực tiễn này đã dừng lại vào tháng 12 năm 2021, nhưng không thu hồi quyền truy cập vào danh sách cấp phép, "Sky Mavis cho biết trong một bài viết trên blog, "một khi kẻ tấn công xâm nhập vào hệ thống của Sky Mavis, hắn có thể nhận được chữ ký từ trình xác thực Axie DAO."

Sau một tháng xảy ra cuộc tấn công của Hacker, Sky Mavis đã tăng số lượng nút xác minh lên 11 và cho biết mục tiêu lâu dài là có hơn 100 nút.

Sky Mavis đã nhận được khoản tài trợ 150 triệu USD do một nền tảng giao dịch dẫn đầu vào đầu tháng 4. Khoản tiền này sẽ được sử dụng cùng với vốn tự có của công ty để bồi thường cho những người dùng bị ảnh hưởng bởi cuộc tấn công. Công ty gần đây đã thông báo sẽ bắt đầu hoàn tiền cho người dùng vào ngày 28 tháng 6. Cây cầu Ethereum Ronin đã bị tạm ngừng sau cuộc tấn công cũng đã được khởi động lại vào tuần trước.

Hôm nay, ESET Research đã công bố một cuộc khảo sát, tiết lộ rằng tổ chức Lazarus của Triều Tiên đã lạm dụng nền tảng mạng xã hội nghề nghiệp và phần mềm nhắn tin tức thời, nhắm mục tiêu vào các nhà thầu trong lĩnh vực hàng không vũ trụ và quốc phòng. Tuy nhiên, báo cáo này không liên kết công nghệ này với sự kiện hack Sky Mavis.

Ngoài ra, vào tháng 4 năm nay, một cơ quan an ninh đã phát hành cảnh báo an ninh, chỉ ra rằng tổ chức APT của Triều Tiên Lazarus Group đã sử dụng một loạt ứng dụng độc hại để thực hiện các cuộc tấn công APT nhắm vào ngành công nghiệp tiền mã hóa. Cách thức cụ thể của chúng bao gồm:

1. Đóng vai trò khác nhau trên các mạng xã hội lớn, tận dụng triệt để nguyên tắc kỹ thuật xã hội.
2. Thiết lập liên lạc với các nhà phát triển trong ngành công nghiệp blockchain để chuẩn bị cho các hành động tiếp theo.
3. Thậm chí thiết lập các trang web giao dịch có vẻ bình thường, lấy lý do tuyển dụng nhân viên gia công.
4. Lừa đảo lòng tin của các nhà phát triển sau đó gửi phần mềm độc hại để tấn công lừa đảo.

Đối với các sự kiện như vậy, các chuyên gia an ninh khuyến nghị:

1. Nhân viên trong ngành cần chú ý đến thông tin an ninh từ các nền tảng đe dọa lớn, tự kiểm tra và giữ cảnh giác.
2. Các nhà phát triển nên thực hiện kiểm tra an ninh cần thiết trước khi chạy chương trình thực thi.
3. Thực hiện cơ chế không tin cậy, giảm thiểu hiệu quả rủi ro đe dọa liên quan.
4. Người dùng Mac/Windows thực tế nên giữ cho phần mềm bảo mật được bảo vệ theo thời gian và cập nhật cơ sở dữ liệu virus kịp thời.