Blast生態計畫被盜6000萬美元，社會工程被北韓駭客「玩明白了」

團隊遭駭客潛伏，Blast 生態專案被盜6,000 萬美元

今晨，曾獲Blast Big Bang遊戲類冠軍的質押遊戲專案Munchables 宣布遭到攻擊，同時據派盾監測顯示，Munchables 鎖定合約有問題，已有1.74 萬枚ETH（約6,230 萬美元）被盜走。

隨後，鏈上偵探ZachXBT 的調查顯示，此攻擊源自於Munchables 協議的開發者，是一名北韓駭客。

慢霧創始人餘弦在社群媒體上發文解讀，「這是慢霧遇到的至少第二起DeFi 類專案遭遇的這類情況。核心開發者偽裝潛伏很久，獲得整個專案團隊的信任，時機一到就下手，毫不留情。受害者恐怕不少。」

Munchables 宣布被盜後，與Munchables 協議有聯繫的Blast 生態DeFi 協議宣布正在評估此漏洞損失，幸運的是駭客只盜取了ETH，用戶存入的WETH 並未收到影響。另一個 Blast 生態協議也在宣布將向受 Munchables 攻擊影響者空投積分。

Aavegotchi 創辦人CoderDan 隨後在社群媒體上發文表示：「Aavegotchi 的開發團隊Pixelcraft Studios 在2022 時曾短期僱用過Munchables 攻擊者來進行一些遊戲開發工作，他的技術很糙，感覺確實像一名朝鮮駭客，我們在一個月內解雇了他。他還試圖讓我們僱用他的一位朋友，那個人很可能也是一名黑客。」

駭客訊息很快就繼續深挖，ZachXBT 發現，Munchables 團隊僱用的四名不同的開發人員與攻擊者都有聯繫，很可能都是同一個人，他們互相推薦對方從事這項工作，定期將付款轉移到相同的兩個交易平台存款地址，「四人」的錢包有互相轉帳行為。

隨著疑似駭客的 github 位址也被公開，或許是受各方追蹤壓力影響，駭客目前已經退回其所盜取的資金。

北韓駭客慣用策略：瞄準開發者團隊的信任攻擊

北韓駭客恐怕是加密領域裡最臭名昭著的存在。根據網路安全公司 Recorded Future 的報告顯示，最出名的北韓駭客組織 Lazarus Group 曾在過去六年間竊取了 30 以美元的加密貨幣，光是 2022 年，該組織就竊取了 17 億美元的加密貨幣。

與利用協議技術漏洞的技術型駭客不同，北韓駭客常常將攻擊目標對準協定背後的開發團隊，濫用信任、伺機竊，正如此次Munchables 遭攻擊事件。

Google安全團隊曾在2021 年發現，Lazarus 會長期潛伏在Twitter、LinkedIn、Telegram 等社群媒體，利用虛假身分偽裝成活躍的業界漏洞研究專家，博取業內信任從而對其他漏洞研究人員發動0day 攻擊。

安全公司Mandiant inc. 的研究人員曾表示，其在2022 年在一名疑似朝鮮求職者的資料上發現了與其他求職者幾乎一樣的訊息，駭客已可以熟練透過複製Linkedin 和Indeed 上的職位信息，應徵美國的一些加密貨幣公司。

除了駭客扮演開發者潛伏團隊，北韓駭客還會偽裝成客戶或雇主接近團隊開發者。

2022 年 Axie Infinity 遊戲側鏈 Ronin 被偷走六億美金，是加密領域最大的一筆被竊事件。最初Ronin 團隊查到的被盜原因在於驗證器節點遭攻擊，而在之後的調查中發現，北韓駭客組織Lazarus Group 偽造了一家公司，冒充雇主透過LinkedIn 以高薪招募的名義聯繫了Axie Infinity 開發商Sky Mavis 的一位資深工程師。

面對誘人的高薪，Axie Infinity 的高級工程師對「工作機會」表現出興趣，並經歷了多輪「面試」。在其中一次「面試」中，工程師收到了一份 PDF 文件，其中包含有關工作的詳細資訊。

然而，該文件實質上為駭客開啟了進入 Ronin 系統的入口。該員工在該公司的電腦上下載並開啟了文件，啟動了一個感染鏈，使駭客能夠侵入 Ronin 系統並控制了四個令牌驗證器和一個 Axie DAO 驗證器。

這種攻擊被稱為APT 攻擊，慢霧MistTrack 曾總結出這種攻擊方法：攻擊者首先偽裝身份，通過真人認證欺騙審核員成為真實客戶，然後進行真實存款。在此客戶身分的掩護下，當多名官方人員與客戶（攻擊者）溝通時，Mac 或 Windows 客製化木馬就會精準針對官方人員。獲得許可後，他們在內網橫向移動，潛伏很長時間，然後竊取資金。

回到事件中，在駭客退回資金後，Blast 創辦人Pacman 在社群媒體上發文表示，Blast 核心貢獻者已透過多重簽名獲得9,700 萬美元的資金，所有開發團隊，無論是否受到影響，都要從中吸取教訓並採取預防措施，保障協議安全。

在加密世界的黑暗森林裡，隱藏的危險防不勝防，不管是使用者或專案方都需要提高警覺、做好充分的安全防備。

歡迎加入律動 BlockBeats 官方社群：

Telegram 訂閱群：https://t.me/theblockbeats

Telegram 交流群：https://t.me/BlockBeats_App

Twitter 官方帳號：https://twitter.com/BlockBeatsAsia