Zion Qiang 12分钟前 一个虚假的工作机会如何摧毁了世界上最受欢迎的加密游戏

　　分析

　　作者：Ryan Weeks

　　很少有求职申请的结果比Axie Infinity的一名高级工程师的遭遇更引人瞩目。他对加入一家虚构公司的兴趣，导致了加密行业最大的黑客攻击之一。

　　Ronin 是一个与以太坊相关的侧链，是游戏 Axie Infinity 的基础。 Axie Infinity在 3 月份的一次漏洞利用中损失了 5.4 亿美元的加密货币。虽然美国政府后来将此事件与朝鲜黑客组织 Lazarus 联系起来，但有关这次攻击是如何进行的全部细节尚未披露。

　　The Block 现在可以揭示一个虚假的招聘广告摧毁了 Ronin。

　　据两名直接了解此事的人士称，Axie Infinity的一名高级工程师被骗申请了一家实际上并不存在的公司的职位。由于事件的敏感性，这两名人士要求匿名。

　　Axie Infinity 是巨大的。在鼎盛时期，东南亚的工人甚至能够通过“玩赚”游戏谋生。去年 11 月，它的游戏内 NFT 拥有 270 万日活跃用户和 2.14 亿美元的每周交易量——尽管此后这两个数字后来都大幅下降。

　　据知情人士透露，今年早些时候，自称代表这家假冒公司的人接触了《Axie Infinity》开发商Sky Mavis的员工，并鼓励他们申请工作。一位消息人士补充说，这些途径是通过专业社交网站LinkedIn进行的。

　　有消息称，在经过多轮面试后，Sky Mavis 的一名工程师获得了一份薪酬极其丰厚的工作。

　　这个虚假的“报价”是以PDF文件的形式发送的，工程师下载了这个文件——这让木马得以渗透到 Ronin 的系统。从那里，黑客能够攻击并接管 Ronin 网络上九个验证器中的四个——让他们只有一个验证器无法完全控制。

　　在 4 月 27 日发布的关于黑客攻击的事后博客文章中，Sky Mavis 说：“员工在各种社交渠道上不断受到高级鱼叉式网络钓鱼攻击，一名员工遭到入侵。该员工不再在 Sky Mavis 工作。攻击者设法利用该访问权限来渗透 Sky Mavis IT 基础设施并获得对验证节点的访问权限。”

　　验证器在区块链中可实现各种功能，包括创建交易区块和更新数据预言机。Ronin 使用所谓的“权威证明”系统来签署交易，将权力集中在九个受信任的参与者手中。

　　区块链分析公司 Elliptic 在 4 月份就该事件发表的一篇博客文章解释说：“如果九个验证器中有五个批准，则可以将资金转出。攻击者设法获得了属于五个验证器的私钥，这足以窃取加密资产。”

　　但在通过虚假招聘广告成功渗透到 Ronin 的系统后，黑客只控制了九个验证器中的四个——这意味着他们需要另一个验证器来控制。 (责任编辑：admin)