Une fausse offre d’emploi a coûté 625 millions de dollars
Nous avons tous rêvé de recevoir une offre d’emploi avec un salaire « extrêmement généreux ». Un ingénieur en a également reçu une. Et cela a coûté 625 millions de dollars à son entreprise.
Axie Infinity était l’un des jeux blockchain les plus populaires au monde et fonctionnait sur Ronin, un réseau connecté à Ethereum créé par son développeur, Sky Mavis. Début 2022, des employés de cette entreprise ont été contactés sur LinkedIn par de prétendus recruteurs d’une société qui, en réalité, n’existait pas.
Après plusieurs tours d’entretiens, un ingénieur senior a reçu une offre avec une rémunération très attractive. L’offre était dans un PDF. Ce PDF contenait un logiciel espion.
Grâce à cet accès, les attaquants ont pénétré dans les systèmes de Sky Mavis et pris le contrôle de quatre des neuf validateurs du réseau. Il en fallait cinq pour approuver les retraits. La cinquième signature provenait d’un détail oublié : quelques mois auparavant, Sky Mavis avait demandé de l’aide à l’organisation Axie DAO pour gérer une surcharge, et celle-ci l’avait autorisée à signer des transactions en son nom. Cette aide a pris fin en décembre, mais l’autorisation n’a jamais été révoquée.
Le 23 mars 2022, en deux transactions, 173.600 ETH et 25,5 millions de USDC ont été dérobés, soit environ 625 millions de dollars au total. Le vol n’a été découvert que plusieurs jours plus tard.
En avril, le département du Trésor des États-Unis a attribué l’attaque au groupe Lazarus, lié à la Corée du Nord. Cette année-là, selon Chainalysis, Lazarus a empoché plus d’un milliard de dollars en cryptomonnaies, et le coup porté à Ronin a été le plus important de tous. Sky Mavis a promis de rembourser les utilisateurs touchés et a augmenté le nombre de validateurs, avec pour objectif d’en atteindre 100.
Comparez avec l’histoire n° 30 : même type de coup à plusieurs millions, mais une fin complètement différente. Ici, personne n’a rien rendu.
Ce qui me fait réfléchir, c’est que le maillon le plus faible n’était ni le code ni la blockchain : c’était une vraie personne qui recevait ce qui semblait être l’offre de sa vie, et une autorisation que personne n’a pensé à révoquer.
Auriez-vous ouvert ce PDF ? Oui / Non, et dites-moi pourquoi.
Suivez-moi : vendredi, nous conclurons la semaine 12 avec un secret qui a été caché dans des millions d’ordinateurs.