Một lời mời làm việc giả mạo đã hạ gục game tiền điện tử phổ biến nhất thế giới

Hiếm có trường hợp tuyển dụng nào lại phản phệ ngoạn mục hơn của một kỹ sư cao cấp tại Axie Infinity, người ứng tuyển vào một công ty hư cấu đã đưa tới một trong những vụ hack lớn nhất của lĩnh vực tiền điện tử.

Tóm lược:

• Tin tặc đã lừa một kỹ sư cấp cao tại Axie Infinity ứng tuyển một công ty hư cấu.
• Kế hoạch này đã đưa đến thiệt hại 540 triệu đô tiền điện tử vào đầu năm nay.
• Chi tiết về cách thức tấn công lần đầu được tiết lộ.

Ronin, sidechain được liên kết với Ethereum làm nền tảng cho Axie Infinity (một game game chơi-để-kiếm), đã mất 540 triệu đô tiền điện tử cho một vụ khai thác vào tháng 3. Chính phủ Mỹ sau đó gắn vụ việc với nhóm tấn công Lazarus của Triều Tiên, chi tiết đầy đủ về cách thức hoạt động khai thác được thực hiện vẫn chưa được tiết lộ.

Giờ đây, Block có thể tiết lộ rằng một quảng cáo việc làm giả mạo chính là sự hủy hoại của Ronin.

Theo hai nhân vật có kiến ​​thức trực tiếp về vấn đề, những người được giấu tên do tính chất nhạy cảm của vụ việc, một kỹ sư cấp cao của Axie Infinity đã bị lừa ứng tuyển tại một công ty mà trên thực tế, không tồn tại.

Axie Infinity rất lớn. Vào thời kỳ đỉnh cao, người lao động ở Đông Nam Á thậm chí có thể kiếm sống thông qua trò chơi kiếm tiền. Họ tự hào có 2,7 triệu người dùng tích cực hàng ngày và 214 triệu đô khối lượng giao dịch hàng tuần cho NFT trong trò chơi của mình vào tháng 11 năm ngoái – mặc dù cả hai con số kể từ đó đều giảm mạnh.

Đầu năm nay, nhân viên của nhà phát triển Axie Infinity Sky Mavis đã bị những người có ý định đại diện cho công ty giả mạo tiếp cận và khuyến khích nộp đơn ứng tuyển. Một nguồn tin cho biết thêm rằng các phương pháp này được thực hiện thông qua LinkedIn.

Sau nhiều vòng phỏng vấn, kỹ sư của Sky Mavis đã được mời làm việc với một gói lương thưởng cực kỳ hậu hĩnh.

“Đề nghị” giả mạo được gửi dưới dạng tài liệu PDF mà kỹ sư đã tải xuống – cho phép phần mềm gián điệp xâm nhập vào hệ thống của Ronin. Từ đó, tin tặc có thể tấn công và chiếm đoạt 4 trong số 9 trình xác thực trên mạng Ronin – để lại họ chỉ 1 trình xác thực có toàn quyền kiểm soát.

Trong một bài đăng trên blog về vụ hack, được xuất bản ngày 27 tháng 4, Sky Mavis cho biết:

“Các nhân viên đang chịu các cuộc tấn công lừa đảo liên tục trên các kênh xã hội khác nhau và một nhân viên đã bị xâm phạm. Nhân viên này không còn làm việc tại Sky Mavis. Kẻ tấn công đã tận dụng quyền truy cập đó để thâm nhập vào cơ sở hạ tầng CNTT của Sky Mavis và giành quyền truy cập vào các nút xác thực”.

Trình xác thực thực hiện các chức năng khác nhau trong blockchain, bao gồm cả việc tạo các khối giao dịch và cập nhật dữ liệu. Ronin sử dụng một hệ thống được gọi là “bằng chứng quyền hạn” để ký kết các giao dịch, tập trung quyền lực vào tay của 9 tác nhân đáng tin cậy.

Một bài đăng trên blog vào tháng 4 về vụ việc từ công ty phân tích blockchain Elliptic giải thích:

“Tiền có thể được chuyển ra ngoài nếu 5 trong số 9 người xác nhận chấp thuận nó. Kẻ tấn công đã nắm giữ các khóa mật mã riêng của 5 trong số các trình xác nhận, đủ để đánh cắp các tập tin mật mã”.

Nhưng sau khi xâm nhập thành công vào hệ thống của Ronin thông qua quảng cáo việc làm giả mạo, các tin tặc chỉ có quyền kiểm soát 4 trong số 9 trình xác thực – có nghĩa là chúng cần một trình xác thực khác để kiểm soát.

Trong quá trình khám nghiệm, Sky Mavis tiết lộ rằng các tin tặc đã sử dụng Axie DAO (Tổ chức tự trị phi tập trung) – một nhóm được thành lập để hỗ trợ hệ sinh thái trò chơi – để hoàn thành vụ trộm. Sky Mavis đã yêu cầu DAO giúp đỡ để giải quyết lượng giao dịch lớn vào tháng 11 năm 2021.

Sky Mavis cho biết trong bài đăng trên blog.

“Axie DAO cho phép Sky Mavis trong danh sách thay mặt mình ký các giao dịch khác nhau. Điều này đã bị ngừng vào tháng 12 năm 2021, nhưng quyền truy cập vào danh sách cho phép đã không bị thu hồi. Khi kẻ tấn công có quyền truy cập vào hệ thống Sky Mavis, chúng có thể lấy được chữ ký từ trình xác thực Axie DAO.”

Một tháng sau vụ hack, Sky Mavis đã tăng số lượng nút xác thực của mình lên 11 và cho biết trên blog rằng mục tiêu dài hạn của họ là có hơn 100.

Sky Mavis từ chối bình luận về cách thức thực hiện vụ hack khi đạt được. LinkedIn đã không trả lời nhiều yêu cầu bình luận.

Đầu ngày hôm nay, ESET Research đã công bố một cuộc điều tra cho thấy Lazarus của Triều Tiên đã lạm dụng LinkedIn và WhatsApp bằng cách đóng giả làm nhà tuyển dụng để nhắm mục tiêu vào các nhà thầu quốc phòng và hàng không vũ trụ. Nhưng báo cáo không gắn kỹ thuật đó với vụ hack Sky Mavis.

Sky Mavis đã huy động được 150 triệu đô la trong một vòng gọi vốn do Binance dẫn đầu vào đầu tháng 4. Số tiền thu được sẽ được sử dụng cùng với quỹ riêng của công ty để hoàn trả cho người dùng bị ảnh hưởng bởi việc khai thác. Công ty gần đây cho biết họ sẽ bắt đầu trả lại tiền cho người dùng vào ngày 28 tháng 6. Sau khi đột ngột dừng hoạt động vào thời điểm xảy ra vụ hack, cầu nối Ethereum của Ronin cũng đã khởi động lại vào tuần trước.

Theo dữ liệu của The Block Research, tỷ lệ hack DeFi đã tăng nhanh chóng trong năm nay, lên đến 2 tỷ USD trong tổng số tiền bị mất, theo dữ liệu của The Block Research. Vào ngày 1 tháng 1, con số này đứng ở mức 760 triệu đô.

Nguồn: The Block