60 triệu USD bị đánh cắp từ dự án sinh thái Blast, kỹ thuật xã hội bị hacker Triều Tiên “hiểu”

Nhóm đã bị tin tặc rình rập và 60 triệu đô la Mỹ đã bị đánh cắp khỏi dự án sinh thái Blast

Sáng nay, Munchables, dự án trò chơi đặt cược đã giành được giải thưởng Thể loại trò chơi Blast Big Bang, được thông báo Đã bị tấn công. Đồng thời, theo giám sát của Pidun, hợp đồng khóa Munchables có vấn đề và 17.400 ETH (khoảng 62,3 triệu USD) đã bị đánh cắp.

Sau đó, một cuộc điều tra của thám tử ZachXBT trên chuỗi đã tiết lộ rằng cuộc tấn công bắt nguồn từ từ Người phát triển giao thức Munchables là một hacker người Triều Tiên.

Người sáng lập Slow Mist Yu Xian đã đăng một lời giải thích trên mạng xã hội, "Đây ít nhất là tình huống thứ hai mà Slow Mist gặp phải trong một dự án DeFi. Core The nhà phát triển đã ẩn nấp đã lâu và được toàn bộ đội dự án tin tưởng, đến lúc đó hắn sẽ ra tay không thương tiếc, e rằng sẽ có rất nhiều nạn nhân."

Sau khi Munchables thông báo rằng nó đã bị đánh cắp, giao thức DeFi sinh thái Blast , liên quan đến giao thức Munchables, đã thông báo rằng họ đang đánh giá thiệt hại do lỗ hổng này gây ra. Điều thú vị là hacker chỉ đánh cắp ETH và WETH mà người dùng gửi không bị ảnh hưởng. Một giao thức hệ sinh thái Blast khác cũng thông báo rằng nó sẽ airdrop điểm cho những người bị ảnh hưởng bởi cuộc tấn công Munchables.

Người sáng lập Aavegotchi CoderDan sau đó đã đăng lên mạng xã hội đã đăng: "Nhóm phát triển Pixelcraft Studios của Aavegotchi đã thuê một kẻ tấn công Munchables trong một thời gian ngắn vào năm 2022 để thực hiện một số công việc phát triển trò chơi. Kỹ năng của anh ấy rất thô và anh ấy thực sự cảm thấy mình giống một người Bắc Triều Tiên "Hacker, chúng tôi đã sa thải anh ta trong vòng một tháng. Anh ta cũng cố gắng thuyết phục chúng tôi thuê một người bạn của anh ta, người này có lẽ cũng là một hacker."

Thông tin về vụ hack nhanh chóng tiếp tục được đào sâu hơn và ZachXBT phát hiện ra rằng bốn nhà phát triển khác nhau được nhóm Munchables tuyển dụng đều có liên hệ với những kẻ tấn công, rất có thể là cùng một người, những người đã giới thiệu lẫn nhau cho công việc này và thường xuyên chuyển khoản thanh toán cho The Deposit. địa chỉ của hai sàn giao dịch giống nhau và ví của "bốn người" đang chuyển tiền cho nhau.

Vì địa chỉ github của hacker bị nghi ngờ cũng đã bị công khai, có lẽ do áp lực theo dõi từ tất cả các bên nên hacker hiện đã trả lại số tiền mà mình đã đánh cắp.

Chiến thuật thông thường của tin tặc Triều Tiên: tấn công tin cậy nhắm vào các nhóm nhà phát triển

Tin tặc Triều Tiên có thể be Sự hiện diện khét tiếng nhất trong không gian tiền điện tử. Theo báo cáo của công ty an ninh mạng Recorded Future, Nhóm Lazarus, nhóm hacker nổi tiếng nhất của Triều Tiên, đã đánh cắp 30 tỷ USD tiền điện tử trong sáu năm qua và nhóm này đã đánh cắp 1,7 tỷ USD tiền điện tử chỉ riêng trong năm 2022.

Không giống như các hacker kỹ thuật khai thác lỗ hổng công nghệ giao thức, hacker Triều Tiên thường nhắm vào nhóm phát triển đằng sau giao thức, lợi dụng lòng tin và chờ cơ hội để đánh cắp, đại loại như thế này Munchables đã bị tấn công.

Nhóm bảo mật của Google đã phát hiện vào năm 2021 rằng Lazarus sẽ ẩn nấp trên các phương tiện truyền thông xã hội như Twitter, LinkedIn và Telegram trong một thời gian dài, sử dụng danh tính giả để giả vờ là những nhà nghiên cứu lỗ hổng tích cực trong ngành. Các chuyên gia, có được sự tin tưởng trong ngành để tiến hành các cuộc tấn công 0day nhằm vào các nhà nghiên cứu lỗ hổng khác.

Các nhà nghiên cứu tại công ty bảo mật Mandiant inc. cho biết họ đã tìm thấy thông tin về một người bị nghi ngờ tìm việc ở Triều Tiên vào năm 2022 gần giống với những người tìm việc khác. đã có thể xin việc tại một số công ty tiền điện tử ở Hoa Kỳ bằng cách sao chép thông tin việc làm trên Linkedin và Indeed.

Ngoài việc hacker giả danh nhà phát triển và ẩn nấp theo nhóm, hacker Triều Tiên cũng sẽ cải trang thành khách hàng hoặc chủ lao động để tiếp cận các nhà phát triển nhóm.

Vào năm 2022, sidechain trò chơi Axie Infinity Ronin đã bị đánh cắp với giá 600 triệu USD, đây là vụ trộm lớn nhất trong lĩnh vực mã hóa. Ban đầu, nhóm của Ronin phát hiện ra rằng nguyên nhân vụ trộm là do nút xác thực bị tấn công, các cuộc điều tra sau đó cho thấy nhóm hacker Triều Tiên Lazarus Group đã giả mạo một công ty và giả làm chủ nhân để liên hệ với nhà phát triển Axie Infinity Sky thông qua LinkedIn dưới danh nghĩa LinkedIn về tuyển dụng lương cao. Một kỹ sư cao cấp tại Mavis.

Đối mặt với mức lương cao hấp dẫn, các kỹ sư cấp cao tại Axie Infinity tỏ ra quan tâm đến "cơ hội việc làm" và trải qua nhiều vòng "phỏng vấn". Trong một lần "phỏng vấn", kỹ sư đã nhận được một tệp PDF chứa thông tin chi tiết về công việc.

Tuy nhiên, về cơ bản, tệp này đã cung cấp cho tin tặc một điểm truy cập vào hệ thống của Ronin. Nhân viên đã tải xuống và mở tệp trên máy tính của công ty, phát động một chuỗi lây nhiễm cho phép tin tặc đột nhập vào hệ thống Ronin và chiếm quyền kiểm soát bốn trình xác thực mã thông báo và trình xác thực Axie DAO.

Loại tấn công này được gọi là tấn công APT. Slow Mist MistTrack từng tóm tắt phương thức tấn công này: kẻ tấn công trước tiên ngụy trang danh tính của mình, đánh lừa kiểm toán viên trở thành khách hàng thực sự thông qua xác thực người đó, sau đó thực hiện gửi tiền thật. Dưới vỏ bọc danh tính khách hàng này, khi nhiều nhân viên chính thức liên lạc với khách hàng (kẻ tấn công), Trojan tùy chỉnh trên Mac hoặc Windows sẽ nhắm mục tiêu chính xác vào nhân viên chính thức. Sau khi được phép, chúng di chuyển ngang qua mạng nội bộ, nằm im trong thời gian dài và sau đó đánh cắp tiền.

Trở lại sự cố này, sau khi hacker trả lại tiền, người sáng lập Blast, Pacman đã đăng trên mạng xã hội rằng những người đóng góp cốt lõi cho Blast đã nhận được tiền thông qua nhiều chữ ký Với 97 đô la triệu USD tài trợ, tất cả các nhóm phát triển, dù bị ảnh hưởng hay không, đều phải rút kinh nghiệm từ điều này và thực hiện các biện pháp phòng ngừa để giữ an toàn cho giao thức.

Trong khu rừng tối tăm của thế giới mã hóa, rất khó để đề phòng những mối nguy hiểm tiềm ẩn. Cả người dùng và các bên tham gia dự án đều cần phải cảnh giác và thực hiện các biện pháp phòng ngừa bảo mật đầy đủ.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia