Axie Infinityのエンジニアが高度なフィッシング攻撃に遭い、5.4億ドルの暗号資産が盗まれる

Axie Infinityの上級エンジニアが採用過程で不注意に引っかかり、暗号業界で最大規模のハッキング攻撃の一つを引き起こしました。この事件は、Axie Infinity専用に設計されたイーサリアムのサイドチェーンであるRoninに関係しており、今年3月の攻撃で5.4億ドル相当の暗号資産を失いました。

報道によると、この攻撃は偽の求人広告と密接に関連している。関係者によれば、今年初めに、ある会社を代表すると名乗る人物が職業交流プラットフォームを通じてAxie Infinityの開発者Sky Mavisの社員に接触し、新しい職位に応募するよう勧めた。複数回の面接を経て、このエンジニアは一見魅力的な仕事のオファーを受け取った。

しかし、このPDF形式で送られた「採用通知」は、実際には巧妙に設計された罠です。エンジニアがファイルをダウンロードして開くと、ハッキングソフトウェアがRoninシステムに侵入しました。攻撃者はその後、Roninネットワーク上の9つのバリデーターのうち4つを制御し、ネットワーク全体を完全に掌握するための一歩手前まで来ました。

Sky Mavisは事後の声明で、同社の従業員がさまざまなソーシャルプログレッシブフィッシング攻撃に継続的に直面していることを認め、最終的に1人の従業員のアカウントが侵害されたと述べました。攻撃者はこの入口を利用して、Sky MavisのITインフラに成功裏に侵入し、検証ノードへのアクセス権を取得しました。

Roninは「権威証明」メカニズムを採用し、取引署名の権限を9人の信頼できる検証者の手に集中させています。ブロックチェーン分析会社は、5人の検証者の承認を得ることができれば、資金を移動できると指摘しています。攻撃者は5人の検証者の秘密鍵を取得することに成功し、大規模な暗号資産の盗難を実現しました。

虚偽の求人広告を通じてRoninシステムに成功裏に侵入した後、ハッカーはAxie DAOの脆弱性を利用して攻撃を完了しました。Sky Mavisは2021年11月にDAOに大量の取引を処理するための支援を求めましたが、もはや支援が必要なくなった後、関連するアクセス権を撤回することに失敗しました。攻撃者はこの不注意を利用して、Axie DAOのバリデーターから最後に必要な署名を取得しました。

事件発生から1ヶ月後、Sky Mavisはその検証ノードの数を11に増やし、ネットワークの安全性を強化するために長期的に100以上に拡張する計画を立てています。同社はまた、影響を受けたユーザーへの補償のために1億5000万ドルを調達し、最近、資金返還プログラムを開始することを発表しました。

さらに、安全研究機関が最近発表した調査によると、特定のハッカー組織が職業的なソーシャルプラットフォームやインスタントメッセージングツールを悪用し、航空宇宙および防衛請負業者に対して攻撃を行っていることが明らかになりました。この報告書はこれらの技術をSky Mavisのハッキング事件に直接関連付けてはいませんが、高度なネットワーク攻撃におけるソーシャルエンジニアリングの重要な役割を浮き彫りにしています。

このような脅威に対して、セキュリティ専門家は業界の関係者に対し、常に主要なセキュリティインテリジェンスプラットフォームに注目し、自己点検を行うことを推奨しています；実行可能なプログラムを実行する前に必要なセキュリティチェックを行うこと；ゼロトラストメカニズムを実施すること；デバイス上のセキュリティソフトウェアを最新の状態に保ち、リアルタイム保護を有効にすることです。これらの対策は、同様の攻撃によるリスクを効果的に低減することができます。