Gehackt über ein gefälschtes LinkedIn Job-Inserat

Die Geschichte des „Axie Infinity“ Hacks, bei welchem im März dieses Jahres Ethereum und US-Dollar im Gesamtwert von 540 Millionen Dollar erbeutet wurden, ist nahezu filmreif. Das Spiel, welches über die Blockchain läuft, sollte dank dieser an sich über eine hohe Sicherheit verfügen. Doch wie das Portal The Block nun öffentlich machte, gelang es einer nordkoreanischen Hackergruppe, sich, mit einem perfiden Plan, dennoch Zugriff zu verschaffen. Hierzu wurden gezielt Programmierer der Entwicklerfirma mit gefälschten Job-Inseraten gelockt. Die Methodik nennt sich dabei Spear-Phishing. 

Ein lukratives Job-Angebot lockte ins Verderben

Programmierer zählen gemeinhin eher zu den technisch-affinen Menschen und fallen wahrscheinlich eher selten auf simple Phishing-Versuche herein. Darum erdachten sich die Hacker in diesem Fall ein ganz bestimmtes Szenario. Laut Insider-Berichten wurden dabei gezielt Mitarbeiter der Firma Sky Mavis, welche hinter „Axie Infinity“ steckt, über LinkedIn rekrutiert. 

Die Methodik nennt sich Spear-Phishing. Wie das Software-Unternehmen Kapersky erläutert, werden dabei gezielte Personengruppen oder Unternehmen herausgepickt und attackiert. Beim bekannten Phishing dagegen wird wie bei der Hochseefischerei ein Netz ausgeworfen und jeder kann zum Opfer fallen.  

Die Fake-Firma versprach dabei viel versprechende Gehälter und führe sogar mehrere Job-Interviews durch. Ein einzelner Entwickler ging auf die Verheißung ein und wollte den neuen Job annehmen. Der Vertrag wurde ihm dabei als PDF zugesandt – doch mit deren Download landete ebenso die Spyware auf seinem Rechner.

Zusätzliche weitere Sicherheitslücke war nötig

Normalerweise würde ein einziger gehackter Computer eine Blockchain nicht zum Fall bringen. Das Spiel nutzt die Blockchain Ronin, eine Unter-Kette von Ethereum, welche mit dem „Proof-of-Authory“ System arbeitet. Zur Validierung von Vorgängen muss hier eine Mehrzahl an Nodes (Knotenpunkten) zustimmen. Zu dem Zeitpunkt nutzte Sky Mavis zur Absicherung neun Knotenpunkte, es war also die Kontrolle über mindestens fünf davon notwendig.

Der gehackte Entwickler konnte nun auf bereits vier davon zugreifen, welche somit in der Hand der Hacker waren. Aus Sicherheitsgründen lagen weitere Knotenpunkte bei einem durch die Spieler-Community betreuten Kollektiv. Das sollte eigentlich eine gegenseitige Absicherung darstellen. 

Jedoch wussten die Hacker, dass es im November 2021 zu einem Vorfall gekommen war, bei welchem Sky Mavis sich zusätzlichen Zugriff auf die Knotenpunkte der Community verschafft hatte. Dies sollte nur zur Überprüfung dienen, aber der Zugriff wurde nie zurückgezogen. Dank dieses Umstandes konnten die Hacker nun letztlich über nur einen einzigen Rechner Zugriff auf fünf der Knotenpunkte erlangen und Transaktionen durchführen.

Ist die Blockchain wirklich sicher?

Generell bietet die Blockchain ein hohes Potenzial an Sicherheit, da jeder Block auch seine Peripherie absichert. Wie wir bereits in unserer Themenreihe NFT (siehe Info-Kasten) mit verdeutlichten, ist der menschliche Faktor meist die Schwachstelle, über die Betrüger es dennoch schaffen. 

Das Unternehmen Sky Mavis hat mittlerweile die Anzahl der Knotenpunkte auf elf erhöht. Eine Mindestmenge von sechs Knotenpunkten wäre nunmehr nötig, um Transaktionen auszulösen. Gerade Technologie-Unternehmen sollten hier aber auch ihre Mitarbeiter ordentlich schulen, damit auch vermeintlich lukrative Angebote nicht einfach aus E-Mail Anhängen heruntergeladen werden.