Axie Infinity: zeer gecompliceerde hack via nep LinkedIn-baanaanbieding

De Axie Infinity-hack was het gevolg van een nep-vacature op LinkedIn. Een mooi voorbeeld van social engineering.

Axie Infinity was vorig jaar een toonaangevend voorbeeld in de markt voor cryptogaming, met een formule “spelen om te verdienen” die afgelopen november ten minste 2,7 miljoen dagelijkse actieve spelers bereikte. Maar dat stortte allemaal in maart in toen hackers het equivalent van $ 625 miljoen stalen van de aan Ethereum gekoppelde Ronin-zijketen waarop de game is gebaseerd.

De Axie Infinity-hack was het gevolg van een nep-vacature op LinkedIn.

Volgens The Block infiltreerden hackers de eigenaar van Axie Infinity Sky Mavin Network door met spyware geïnfecteerde pdf-bestanden naar een medewerker te sturen, volgens twee afzonderlijke bronnen. Deze man dacht dat hij een goedbetaald baanaanbod aannam van een ander bedrijf, een bedrijf dat nooit echt heeft bestaan. Volgens de Amerikaanse regering zat de Noord-Koreaanse hackergroep Lazarus achter de aanval.

“Werknemers zijn een constant doelwit van geavanceerde spear-phishing-aanvallen op verschillende sociale kanalen, en één werknemer is gecompromitteerd”, legt Sky Mavis uit in een blogpost na de hack. “Deze medewerker is niet meer bij Sky Mavis. De aanvaller kon deze toegang gebruiken om de IT-infrastructuur van Sky Mavis te infiltreren en toegang te krijgen tot de verificatieknooppunten.”

Mooi voorbeeld van social engineering

Axie Infinity hervatte vorige week haar activiteiten en is nog steeds gebaseerd op de Ronin-zijketen, maar met verbeterde veiligheidsmaatregelen. Het bedrijf verhoogde ook het aantal validatieknooppunten van 9 eerder naar 11 in april, waardoor het voor hackers moeilijker werd om het netwerk te controleren. (Lazarus had toegang tot 5 knooppunten om deze hack uit te voeren, waaronder het Axie DAO-knooppunt.) En het implementeert ook een “kill switch”-systeem om grote aanvallen te detecteren.

Hoewel deze hack zorgvuldig was gepland en veel technische kennis vergde, is hij wederom gebaseerd op een klassieke kwetsbaarheid: social engineering.