Axie Infinityエンジニアの求職問題が暗号界で大規模なハッカー攻撃を引き起こす

Axie Infinityの上級エンジニアが仕事に応募する際、暗号業界の重大なハッカー事件の重要な役割を果たすことになった。この事件により、Axie Infinity専用のイーサリアムサイドチェーンRoninは5.4億ドルの暗号通貨を失った。

報道によると、事件の発端は偽の求人広告である。ある情報によれば、今年の初めに、ある会社を代表すると自称する人物がソーシャルプラットフォームを通じてAxie Infinityの開発者であるSky Mavisの従業員に連絡し、彼らに仕事を応募するよう促した。複数の面接を経て、Sky Mavisのエンジニアが高額なオファーを得た。

しかし、このオファーは偽造されたPDF文書です。エンジニアがその文書をダウンロードすると、ハッカーソフトウェアがRoninシステムに成功裏に浸透しました。ハッカーはその後、Roninネットワーク上の9つのバリデーターのうち4つを攻撃して乗っ取り、ネットワークを完全に制御する一歩手前まで達しました。

Sky Mavisは事後に、一人の従業員が侵害されたことを報告し、攻撃者は得たアクセス権を利用して会社のITインフラに侵入し、検証ノードへのアクセス権を獲得したと述べました。その従業員はもはや会社に勤務していません。

Roninは「権威証明」システムを使用して取引署名を行い、権限を9人の信頼できる検証者に集中させています。5人の検証者が承認すれば、資金を移動できます。ハッカーは5人の検証者の秘密鍵を成功裏に取得し、暗号資産を盗むことができました。

攻撃を完了するために、ハッカーはAxie DAOの脆弱性を利用しました。Sky Mavisは2021年11月にDAOに取引負荷の処理を支援するよう依頼しましたが、もはや支援が必要なくなった後、関連するアクセス権を撤回しませんでした。

ハッカー攻撃が発生してから1か月後、Sky Mavisは検証ノードの数を11に増やし、長期的に100以上に拡張する計画です。会社は4月初めに1.5億ドルの資金調達を行い、影響を受けたユーザーへの補償に充てます。Roninのイーサリアムブリッジは最近再起動しました。

セキュリティ専門家は、ブロックチェーン業界を標的にしたこのようなソーシャルエンジニアリング攻撃手法が広く使用されていることを警告しています。業界関係者に対して、警戒を強化し、必要なセキュリティチェックを行い、ゼロトラストメカニズムを実装し、セキュリティソフトウェアを適時更新することを推奨します。