Kỹ sư Axie Infinity gặp bẫy tuyển dụng giả, gây ra sự kiện hacker lớn trong ngành mã hóa

Một sự kiện xin việc đáng chú ý đã gây ra một trong những cuộc tấn công Hacker lớn nhất trong ngành mã hóa. Một kỹ sư cao cấp của Axie Infinity đã thể hiện sự quan tâm sâu sắc đến một công ty mà sau này được xác nhận là hư cấu, cuối cùng dẫn đến hậu quả nghiêm trọng này.

Vào tháng 3 năm nay, chuỗi bên Ethereum dành riêng cho Axie Infinity là Ronin đã bị tấn công bởi hacker, với thiệt hại lên tới 540 triệu đô la tiền mã hóa. Mặc dù chính phủ Hoa Kỳ sau đó đã liên kết sự việc này với tổ chức hacker Triều Tiên Lazarus, nhưng các chi tiết cụ thể về lỗ hổng vẫn chưa được công bố hoàn toàn.

Theo báo cáo, sự kiện này liên quan chặt chẽ đến một quảng cáo tuyển dụng giả.

Hai người có thông tin ẩn danh cho biết, vào đầu năm nay, một người tự xưng là đại diện của một công ty hư cấu đã liên hệ với nhân viên của nhà phát triển Axie Infinity, Sky Mavis, thông qua một nền tảng mạng xã hội nghề nghiệp, khuyến khích họ nộp đơn xin việc. Sau nhiều vòng phỏng vấn, một kỹ sư của Sky Mavis đã nhận được một lời mời làm việc với mức lương cao.

Sau đó, kỹ sư đã nhận được một thông báo tuyển dụng giả dưới định dạng PDF. Sau khi tải xuống tài liệu này, phần mềm mã hóa đã thành công thâm nhập vào hệ thống của Ronin. Hacker do đó đã có thể tấn công và kiểm soát bốn trong số chín nút xác thực trên mạng Ronin, chỉ còn một nút nữa là có thể hoàn toàn kiểm soát toàn bộ mạng.

Sky Mavis đã chỉ ra trong báo cáo phân tích sau sự việc được phát hành vào ngày 27 tháng 4: "Nhân viên của chúng tôi liên tục phải đối mặt với các cuộc tấn công lừa đảo mạng tinh vi từ nhiều kênh xã hội, trong đó một nhân viên không may đã bị xâm nhập. Kẻ tấn công đã tận dụng quyền truy cập này để thâm nhập vào hạ tầng IT của Sky Mavis và lấy quyền truy cập vào các nút xác thực. Nhân viên đó không còn làm việc tại công ty nữa."

Các nút xác thực trong blockchain đảm nhận nhiều chức năng quan trọng, bao gồm tạo các khối giao dịch và cập nhật dữ liệu dự đoán. Ronin đã áp dụng hệ thống "Chứng thực ủy quyền" để ký các giao dịch, tập trung quyền lực vào chín xác thực viên đáng tin cậy.

Một công ty phân tích blockchain đã giải thích trong một bài viết trên blog vào tháng 4: "Chỉ cần năm trong số chín người xác thực đồng ý, thì có thể chuyển tiền. Kẻ tấn công đã thành công trong việc lấy được khóa riêng của năm người xác thực, đủ để đánh cắp mã hóa tài sản."

Mặc dù Hacker đã thành công thâm nhập hệ thống Ronin thông qua quảng cáo tuyển dụng giả, nhưng họ chỉ kiểm soát bốn trong số chín xác thực viên, và cần một xác thực viên bổ sung để hoàn thành việc kiểm soát.

Sky Mavis đã tiết lộ trong báo cáo sau sự việc rằng Hacker đã lợi dụng Axie DAO (một tổ chức hỗ trợ hệ sinh thái trò chơi) để thực hiện cuộc tấn công. Sky Mavis đã yêu cầu DAO hỗ trợ xử lý khối lượng giao dịch nặng vào tháng 11 năm 2021.

"Axie DAO cho phép Sky Mavis đại diện cho nó ký các giao dịch khác nhau. Hành động này đã dừng lại vào tháng 12 năm 2021, nhưng quyền truy cập vào danh sách cấp phép vẫn chưa bị thu hồi," Sky Mavis cho biết trong một bài viết trên blog. "Khi kẻ tấn công có quyền truy cập vào hệ thống của Sky Mavis, họ có thể nhận được chữ ký từ trình xác thực của Axie DAO."

Một tháng sau khi cuộc tấn công của hacker xảy ra, Sky Mavis đã tăng số lượng nút xác thực lên 11 và cho biết trong một bài viết trên blog rằng mục tiêu lâu dài là có hơn 100 nút.

Sky Mavis từ chối bình luận về cách thức xâm nhập của Hacker.

Vào đầu tháng 4, Sky Mavis đã huy động được 150 triệu USD trong một vòng tài trợ. Số tiền này sẽ được sử dụng cùng với vốn tự có của công ty để bồi thường cho những người dùng bị ảnh hưởng bởi cuộc tấn công. Công ty gần đây cho biết sẽ bắt đầu hoàn tiền cho người dùng vào ngày 28 tháng 6. Cây cầu Ethereum Ronin, đã đột ngột ngừng hoạt động sau cuộc tấn công, cũng đã được khởi động lại vào tuần trước.

Gần đây, một cuộc khảo sát cho thấy tổ chức Lazarus của Triều Tiên đã lạm dụng các nền tảng mạng xã hội nghề nghiệp và phần mềm nhắn tin tức thì để tấn công các nhà thầu trong lĩnh vực hàng không vũ trụ và quốc phòng. Tuy nhiên, báo cáo này không liên kết công nghệ này với sự kiện hack Sky Mavis.

Ngoài ra, vào tháng 4 năm nay, một cơ quan an ninh đã phát hành thông báo an ninh, chỉ ra rằng tổ chức APT của Triều Tiên Lazarus Group đã sử dụng một loạt ứng dụng độc hại để thực hiện các cuộc tấn công APT có mục tiêu vào ngành công nghiệp tiền điện tử. Các phương pháp cụ thể bao gồm:

1. Tổ chức Hacker này tận dụng triệt để các nguyên lý của kỹ thuật xã hội, đóng vai trò khác nhau trên các mạng xã hội lớn.

2. Nói chuyện với các nhà phát triển trong ngành công nghiệp blockchain, tạo mối quan hệ gần gũi hơn, chuẩn bị cho các hành động tiếp theo.

3. Tổ chức hacker này thậm chí còn xây dựng trang web giao dịch của riêng mình, dùng mánh lới tuyển dụng nhân viên gia công để lấy lòng tin của các nhà phát triển.

4. Lợi dụng cơ hội để gửi phần mềm độc hại liên quan nhằm thực hiện các cuộc tấn công lừa đảo.

Đối với các sự kiện như vậy, các chuyên gia an ninh khuyên rằng:

1. Nhân viên trong ngành nên chú ý đến thông tin an ninh từ các nền tảng đe dọa lớn trong và ngoài nước, thực hiện tự kiểm tra và duy trì mức độ cảnh giác cao.

2. Các nhà phát triển nên thực hiện kiểm tra an ninh cần thiết trước khi chạy chương trình thực thi.

3. Thực hiện cơ chế không tin cậy, giảm hiệu quả rủi ro do các mối đe dọa này mang lại.

4. Người dùng Mac/Windows nên giữ cho phần mềm bảo mật có chức năng bảo vệ thời gian thực được bật và cập nhật kịp thời cơ sở dữ liệu virus mới nhất.