Une fausse offre d’emploi et un fichier .pdf sont-ils responsables du piratage Axie Infinity/ Ronin ?

Le dernier rapport sur le piratage du pont Axie Infinity/ Ronin est trop beau pour être vrai. Surtout si l’on considère que le FBI affirme qu’un groupe de piratage parrainé par la Corée du Nord en est responsable. « Un ingénieur senior d’Axie Infinity a été dupé pour postuler à un emploi dans une entreprise qui, en réalité, n’existait pas », rapporte The Block. Ce n’est pas tout, apparemment, les logiciels espions des pirates sont entrés dans le système via un simple fichier .pdf. Incroyable qu’un piratage de 622 millions de dollars ait commencé de cette façon.

Le réseau Ronin est une chaîne latérale Ethereum qui sert exclusivement Axie Infinity. À la fois une entreprise d’un milliard de dollars et une application amusante avec une économie interne florissante et un public international, le jeu de jeu pour gagner a été l’une des plus grandes réussites du marché haussier. Sky Mavis est le studio derrière Axie Infinity. Et l’un de ses programmeurs a apparemment été victime de l’astuce d’ingénierie sociale la plus simple du livre.

Selon la société de surveillance Chainalysis, les pirates parrainés par la Corée du Nord ont volé plus de 400 millions de dollars rien qu’en 2021. Et selon le FBI, ils sont responsables du piratage Axie Infinity/ Ronin. L’agence de l’alphabet a retracé les fonds vers des portefeuilles associés au groupe de piratage nord-coréen Lazarus. L’article de The Block complète-t-il ou nie-t-il cette version de l’histoire ? Il est difficile de voir des Nord-Coréens réaliser une cascade comme celle-ci.

En tout cas, à l’époque, le FBI était extrêmement clair dans une déclaration citée ici : 

« Grâce à notre enquête, nous avons pu confirmer que Lazarus Group et APT38, des cyberacteurs associés à la RPDC, sont responsables du vol de 620 millions de dollars dans Ethereum signalé le 29 mars. »

Si c’est vrai, ils ont battu leur record de 2021 avec une seule opération.

Comment le piratage Axie Infinity / Ronin s’est-il passé?

L’histoire supposée du hack est hilarante, c’est le moins qu’on puisse dire. Selon The Block : 

« Plus tôt cette année, le personnel du développeur d’Axie Infinity, Sky Mavis, a été approché par des personnes prétendant représenter la fausse entreprise et encouragé à postuler à des emplois, selon les personnes proches du dossier. »

Après plusieurs séries d’entretiens, l’un des développeurs de Sky Mavis a reçu une offre extrêmement généreuse. Il a ouvert la boîte de Pandore et l’enfer s’est déchaîné.

« La fausse » offre « a été livrée sous la forme d’un document PDF, que l’ingénieur a téléchargé – permettant aux logiciels espions d’infiltrer les systèmes de Ronin. À partir de là, les pirates ont pu attaquer et prendre le contrôle de quatre des neuf validateurs du réseau Ronin, ne leur laissant qu’un seul validateur à court de contrôle total. »

Pour terminer l’attaque, ils ont pris le contrôle d’une autre entité. Il était une fois, « l’Axie DAO a autorisé Sky Mavis à signer diverses transactions en son nom ». Les autorisations étaient toujours valides et les pirates en ont profité. L’autopsie des opérateurs du pont Ronin sur l’attaque décrit les retombées.

« L’attaquant a réussi à prendre le contrôle de cinq des neuf clés privées du validateur – 4 validateurs Sky Mavis et 1 Axie DAO – afin de falsifier de faux retraits. Il en a résulté 173 600 Ethereum et 25,5 millions USDC drainés du pont Ronin en deux transactions »

Les opérateurs de Lazarus ont-ils orchestré une telle attaque hollywoodienne ? Ou le modus operandi comique implique-t-il d’autres auteurs ?

Tableau des prix AXS sur FTX | Source : AXS/USD sur TradingView.com
Couverture précédente du Ronin Hack

Passons aux documents d’archives pour compléter l’histoire et ajouter des détails supplémentaires. Lorsque la violation s’est produite, NewsBTC l’a décrite comme : 

« Le 23 mars, des cybercriminels ont exploité le réseau Ronin Bridge et les pirates ont pillé plus de 625 millions de dollars d’actifs. Les actifs comprennent 25,5 millions USDC et plus de 173 600 éthers. Un rapport sur leur blog a révélé ces données. »

Ensuite, nous avons rendu compte de la première solution d’Axie Infinity et Sky Mavis au problème :

« La dernière décision annoncée est un programme de primes de bugs d’un million de dollars qui invite les pirates informatiques à tester la blockchain.

Le co-fondateur et directeur de l’exploitation de Sky Mavis et Axie a annoncé : « Appel à tous les whitehats dans l’espace blockchain. Le programme Sky Mavis Bug Bounty est arrivé. Aidez-nous à assurer la sécurité du réseau Ronin tout en gagnant une prime allant jusqu’à 1 000 000 $ en prime pour les bogues mortels. »

Et puis, lorsque les opérateurs ont rouvert le nouveau pont Ronin amélioré, notre site sœur Bitcoinist a revu ses caractéristiques :

« En plus des deux audits indépendants sur ses contrats intelligents, la nouvelle conception du pont Ronin a mis en place une nouvelle fonctionnalité de « disjoncteur ». Cela a été directement ajouté pour empêcher un acteur malveillant de reproduire l’attaque précédente ou d’exploiter tout nouveau vecteur d’attaque potentiel. »

Donc, le pont Ronin semble être sûr à utiliser pour le moment. Cependant, il semblait également être sûr de l’utiliser avant le piratage.

Image sélectionnée par Niek Verlaan de Pixabay | Graphiques par TradingView