一封價值5.4億美元的招聘Offer

閱讀本文需 10 分鐘

一次虛假的招聘如何鑄成 Ronin 的敗局？

原文標題：《How a fake job offer took down the world's most popular crypto game》

原文作者：Ryan Weeks，The Block

原文編譯：0x9F，BlockBeats

今年 3 月 29 日，Axie Infinity 側鏈 Ronin 發文表示驗證節點遭入侵，17.36 萬枚 ETH 和 2550 萬 USDC 被盜，Ronin Bridge 和 Katana Dex 也隨之暫停運行（現在均已恢復）。4 月 27 日，Ronin 發佈安全漏洞報告，稱攻擊者通過控制 9 個驗證節點私鑰中的 5 個，盜取了資金。報告中只提到 Sky Mavis 一名員工曾遭受釣魚攻擊，攻擊者以此對 Sky Mavis IT 基礎設施進行滲透並獲得對驗證節點的訪問權限。具體是什麼樣的釣魚攻擊釀就了 Axie Infinity 的史上最嚴重錯誤？The Block 獨家解密其中細節，BlockBeats 爲您整理翻譯如下：

人們很難不注意到來自一名 Axie Infinity 高級工程師的求職簡歷。這名工程師對加入一家虛構的公司的興趣，導致了加密行業最大的黑客攻擊之一。

Ronin 是以太坊的一個側鏈，也是 P2E 遊戲 Axie Infinity 的基石。它在 3 月的一次攻擊事件裏損失了 5.4 億美元的加密貨幣。雖然後來這一事件被指與朝鮮黑客組織 Lazarus 有關，但關於漏洞是如何被利用的全部細節尚未披露。The Block 現在可以透露，一個虛假的招聘廣告鑄成 Ronin 的敗局。

據兩名直接瞭解此事的人士（由於事情敏感，他們不願透露姓名）稱，Axie Infinity 的一名高級工程師被騙申請了一家公司的工作，而實際上，這家公司並不存在。

Axie Infinity 規模巨大，巔峯時期東南亞的工人甚至能通過它賺錢謀生。去年 11 月，它擁有 270 萬日活躍用戶，遊戲內 NFT 周交易量爲 2.14 億美元。儘管此後，這兩個數字都急遽下降。

知情人士透露，今年早些時候，那家並不存在的公司的代表找上 Axie Infinity 開發商 Sky Mavis 的員工，鼓勵他們申請工作。這些接觸通過職業社交網站領英進行。經過多輪面試，一名 Sky Mavis 的工程師得到了一份報酬極爲豐厚的工作。

這份虛假的「offer」以 PDF 文檔形式提供，工程師下載了這份文檔，使得間諜軟件滲透進 Ronin 的系統裏。從那裏，黑客能夠攻擊並接管 Ronin 網絡上 9 個驗證節點中的 4 個，只缺 1 個驗證節點就能獲得完全控制。

4 月 27 日發表的一篇有關攻擊事件的事後總結博文中，Sky Mavis 稱：「員工們不斷受到來自各種社交渠道的高級魚叉式釣魚攻擊，其中一名員工被攻破。這名員工已不在 Sky Mavis 工作了。攻擊者成功地利用這一機會滲透到 Sky Mavis 的 IT 基礎設施中，並獲得了對驗證節點的訪問權限。」

驗證節點在區塊鏈中履行各種功能，包括創建交易區塊和更新數據預言機。Ronin 使用所謂的「權威證明」系統來簽署交易，將權力集中在 9 個受信任的行爲者手中。

區塊鏈分析公司 Elliptic 在 4 月關於該事件的一篇博文中解釋道：「如果 9 個驗證節點中有 5 個批准，資金就可以轉移出去。攻擊者設法掌握了屬於其中 5 個驗證節點的私鑰，從而竊取加密資產。」

但在通過虛假招聘廣告成功侵入 Ronin 的系統後，黑客只控制了 9 個驗證節點中的 4 個。他們還需要另一個驗證節點才能獲得控制權。

Sky Mavis 事後透露，黑客設法利用 Axie DAO 完成了這次搶劫。Axie DAO 是一個支持遊戲生態系統的組織。2021 年 11 月，Sky Mavis 請求 DAO 幫助處理沉重的交易負荷。

「Axie DAO 允許 Sky Mavis 代表它簽署各種交易。這在 2021 年 12 月被終止，但允許列表的訪問權限並沒有被撤銷。一旦攻擊者進入 Sky Mavis 系統，他們就能從 Axie DAO 驗證節點獲得簽名。」

攻擊事件發生一個月後，Sky Mavis 已將其驗證節點數量增加至 11 個，並在博文中表示其長期目標是超過 100 個。

Sky Mavis 拒絕就攻擊事件是如何進行的發表評論，領英也沒有迴應多次置評請求。

今天早些時候，ESET Research 公佈的一項調查顯示，朝鮮的 Lazarus 濫用領英和 WhatsApp，冒充招聘人員，瞄準航空航天和國防承包商。但這份報告沒有將這種技術與 Sky Mavis 的攻擊事件聯繫起來。

4 月初，SkyMavis 在由 Binance 牽頭的一輪融資中籌集了 1.5 億美元。所得資金將與公司自有資金一起用於償還受漏洞影響的用戶。該公司最近表示，將於 6 月 28 日開始向用戶返還資金。因攻擊事件暫停使用的 Ronin Bridge 也於上週重新啓動。

據 The Block Research 數據顯示，DeFi 攻擊事件的發生頻率今年迅速加快，損失的資金總額超過 20 億美元。1 月 1 日，這一數字還是 7.6 億美元。