Engenheiro do Axie Infinity cai em armadilha de recrutamento falso, provocando um grande evento de hacker na indústria de encriptação

Um evento de candidatura a emprego que chamou a atenção gerou um dos maiores ataques de hackers na indústria da encriptação. Um engenheiro sênior da Axie Infinity demonstrou um grande interesse por uma empresa que mais tarde foi confirmada como fictícia, o que acabou levando a essa grave consequência.

Em março deste ano, a sidechain Ronin, dedicada ao Axie Infinity, sofreu um ataque de Hacker, resultando em perdas de até 540 milhões de dólares em encriptação. Embora o governo dos EUA tenha mais tarde associado o incidente ao grupo de hackers norte-coreano Lazarus, os detalhes específicos sobre a exploração da vulnerabilidade ainda não foram totalmente divulgados.

De acordo com relatos, este evento está intimamente relacionado com um anúncio de recrutamento falso.

Duas fontes anônimas revelaram que, no início deste ano, uma pessoa que se dizia representar uma empresa fictícia entrou em contato com funcionários da desenvolvedora de Axie Infinity, a Sky Mavis, através de uma plataforma de redes sociais profissionais, encorajando-os a se candidatar. Após várias rodadas de entrevistas, um engenheiro da Sky Mavis recebeu uma proposta de emprego bem remunerada.

Em seguida, o engenheiro recebeu uma falsa carta de oferta de emprego em formato PDF. Após fazer o download deste documento, o Hacker conseguiu infiltrar-se no sistema da Ronin. O Hacker, assim, pôde atacar e controlar quatro dos nove nós de validação na rede Ronin, ficando a apenas um de conseguir o controle total da rede.

A Sky Mavis apontou no relatório de análise pós-incident que foi publicado a 27 de abril: "Os nossos funcionários continuam a enfrentar vários ataques de phishing avançados em diferentes canais sociais, e um dos nossos funcionários foi infeliz ao ser comprometido. Os atacantes utilizaram esse acesso para penetrar na infraestrutura de TI da Sky Mavis e obter acesso aos nós de validação. Esse funcionário já não está mais na empresa."

Os nós de validação desempenham várias funções importantes na blockchain, incluindo a geração de blocos de transação e a atualização de oráculos de dados. A Ronin adotou um sistema de "prova de autoridade" para assinar transações, concentrando o poder em nove validadores de confiança.

Uma empresa de análise de blockchain explicou em um artigo de blog publicado em abril: "Desde que cinco dos nove validadores aprovem, os fundos podem ser transferidos. O atacante conseguiu obter as chaves privadas de cinco validadores, o que é suficiente para roubar ativos encriptação."

Apesar de os hackers terem conseguido penetrar no sistema Ronin através de anúncios de recrutamento falsos, eles apenas controlavam quatro dos nove validadores e precisavam de um validador adicional para completar o controle.

Sky Mavis revelou no relatório posterior que o Hacker utilizou o Axie DAO (uma organização que apoia o ecossistema de jogos) para realizar o ataque. A Sky Mavis havia solicitado em novembro de 2021 a assistência do DAO para lidar com a carga de transações pesada.

"Axie DAO permite que a Sky Mavis assine várias transações em seu nome. Esta prática foi interrompida em dezembro de 2021, mas o acesso à lista de permissões não foi revogado," disse a Sky Mavis em um post no blog. "Uma vez que os hackers obtenham acesso ao sistema da Sky Mavis, eles podem obter assinaturas dos validadores da Axie DAO."

Um mês após o ataque de hacker, a Sky Mavis aumentou o número de seus nós de validação para 11 e afirmou em um post de blog que o objetivo a longo prazo é ter mais de 100 nós.

Sky Mavis recusou-se a comentar sobre a forma específica da encriptação de hackers.

No início de abril, a Sky Mavis arrecadou 150 milhões de dólares em uma rodada de financiamento. Esses fundos serão usados juntamente com o capital próprio da empresa para compensar os usuários afetados pelo ataque. A empresa anunciou recentemente que começará a reembolsar os usuários a partir de 28 de junho. A ponte Ethereum Ronin, que foi repentinamente interrompida após o ataque, também foi reiniciada na semana passada.

Recentemente, uma investigação revelou que o grupo Lazarus da Coreia do Norte está a abusar de plataformas de redes sociais profissionais e softwares de mensagens instantâneas para atacar contratantes de aeroespacial e defesa. No entanto, o relatório não associou essa técnica ao incidente de hacker da Sky Mavis.

Além disso, em abril deste ano, uma agência de segurança emitiu um alerta de segurança, apontando que o grupo APT Lazarus da Coreia do Norte está usando uma série de aplicativos maliciosos para realizar ataques APT direcionados à indústria de criptomoedas. As técnicas específicas incluem:

1. A organização hacker aproveita plenamente os princípios da engenharia social, desempenhando diferentes papéis nas principais redes sociais.

2. Conversar com desenvolvedores da indústria de blockchain, aproximar-se, e preparar para ações futuras.

3. A organização hacker até criou seu próprio site de negociação, utilizando desculpas como recrutamento de funcionários terceirizados para ganhar a confiança dos desenvolvedores.

4. Aproveitar a oportunidade para enviar software malicioso relacionado para ataques de phishing.

Perante este tipo de eventos, os especialistas em segurança recomendam:

1. Os profissionais da indústria devem acompanhar de perto as informações de segurança das principais plataformas de ameaça, tanto nacionais quanto internacionais, realizar autoavaliações e manter-se em alta vigilância.

2. Os desenvolvedores devem realizar as verificações de segurança necessárias antes de executar o programa executável.

3. Implementar mecanismos de zero confiança para reduzir efetivamente os riscos associados a essas ameaças.

4. Os utilizadores de Mac/Windows devem manter a proteção em tempo real do software de segurança ativada e atualizar regularmente a base de vírus mais recente.