Идеальное преступление на полмиллиарда. Как одно фальшивое резюме убило крупнейшую криптоимперию
Доброго времени суток. Сегодня мы предметно поговорим о преступлении невероятно глобальных масштабов. О краже без единого разбитого окна или выстрела.
Эта циничная история идеально ложится в основу моего исследования человеческой глупости. Самая грандиозная афера нашего короткого века произошла в абсолютной тишине. Орудием взлома стал не кусок тяжелого железа. Им стал обычный документ в формате PDF. И безмерное человеческое тщеславие.
Давайте вернемся в странную эпоху пандемии. Мир наглухо сидит взаперти. Люди массово теряют работу. Начинается тихая глобальная паника. На этом сером унылом фоне внезапно появляется яркий луч света. Игра Axie Infinity. Суть проекта предельно проста. Ты покупаешь мультяшных цифровых монстров. Ты скрещиваешь их между собой. Ты сражаешься на виртуальной арене. За частые победы ты получаешь вполне реальную криптовалюту. Концепция игры ради заработка сводит людей с ума. Жители бедных азиатских стран бросают тяжелую работу на грязных заводах. Они целыми днями покорно кликают мышкой в надежде быстро разбогатеть. Разработчик игры компания Sky Mavis мгновенно взлетает на финансовую вершину. Миллиарды долларов мощной рекой текут через их систему. Они искренне чувствуют себя настоящими богами нового цифрового мира.
Но у каждого самопровозглашенного цифрового бога есть своя фатальная уязвимость. Разработчики создают собственный приватный блокчейн. Он носит гордое имя Ronin. Они агрессивно обещают пользователям полную децентрализацию и абсолютную безопасность активов. На деле это полнейший и наглый обман. Вся эта гигантская сеть держится всего на девяти узлах валидаторах. Для полного контроля над чужими миллиардами долларов нужно захватить всего лишь пять узлов. Захватишь пять удаленных компьютеров - получишь главные ключи от центрального хранилища. Это настоящая архитектурная катастрофа. Заложенная под фундамент бомба замедленного действия. И эту тикающую бомбу уже очень внимательно заметили очень плохие парни.
Хакерская группировка Lazarus напрямую финансируется суровым правительством Северной Кореи. Это абсолютная элита мирового кибершпионажа. Они давно не ломают сложные технические алгоритмы шифрования. Они методично ломают живых людей. Компьютерный алгоритм не знает жадности. Простой человек целиком соткан из алчности и гордыни. Хакеры начинают долгую охоту на старших инженеров Sky Mavis. Главной площадкой для атаки становится социальная сеть LinkedIn. Это идеальное место для классической социальной инженерии. Огромная публичная ярмарка корпоративного тщеславия. Наивные люди сами добровольно выкладывают туда все свои компетенции и карьерные амбиции.
Северокорейцы создают безупречную правдоподобную легенду. Они придумывают вымышленную престижную технологическую компанию. Они красиво оформляют профили фейковых рекрутеров. Они пишут старшему инженеру Sky Mavis личное сообщение. Предложение звучит просто невероятно заманчиво. Огромная зарплата. Элитный социальный пакет. Сказочные перспективы уровня Кремниевой долины. Инженер жадно клюет на эту блестящую приманку. Начинается долгий и очень сложный спектакль. Хакеры проводят с ним несколько серьезных этапов собеседований. Они умно обсуждают технические задачи. Они агрессивно торгуются по условиям контракта. Это длится долгие напряженные недели. Жертва полностью и глубоко погружается в теплую иллюзию собственного величия.
Наступает финал этого блестящего цифрового представления. Вымышленный работодатель отправляет инженеру официальный красивый оффер. Документ упакован в стандартный безобидный PDF-файл. Инженер спокойно сидит за своим рабочим компьютером. Прямо внутри защищенной корпоративной сети Sky Mavis. Он дрожащими от предвкушения руками кликает по файлу. Он ожидает увидеть итоговые цифры с шестью нулями. Документ медленно открывается. Но внутри файла спрятан крошечный шпионский код. Он мгновенно исполняется в скрытом фоновом режиме. Вирус тихо проникает в операционную систему. Инженер ничего странного не замечает. А хладнокровные хакеры Lazarus навсегда получают полный доступ к его машине.
Этого доступа полностью хватает для захвата сразу четырех узлов валидаторов сети Ronin. Но им критически нужен пятый узел. Последний ключ от гигантского сейфа с деньгами. Хакеры находят старую забытую лазейку в коде. Около года назад разработчики временно передали права валидатора сторонней организации Axie DAO. Они просто банально забыли отозвать эти широкие права после окончания пиковых нагрузок. Северокорейцы легко и изящно получают пятую подпись. Главный сейф беззвучно открывается. Происходит тихий вывод огромных средств. 173 тысячи эфиров. 25,5 миллионов стабильных монет USDC. Суммарно это более 620 миллионов полновесных долларов. Огромные деньги растворяются в темном густом лесу блокчейна.
Самое поразительное в этой истории - реакция самих разработчиков. Ее просто не было. Ограбление на полмиллиарда долларов никто в компании даже не заметил. Проходит целый день. Проходит два дня. Проходит шесть долгих суток. Инженеры Sky Mavis продолжают спокойно пить смузи и писать свой код. Они узнают о грандиозной краже только от рядового возмущенного пользователя. Человек просто попытался вывести свои пять тысяч эфиров со счета. Система внезапно выдала ошибку из-за абсолютно пустого резерва. Только тогда корпоративная неповоротливая машина проснулась. Началась дикая массовая паника. Но было уже катастрофически поздно. Северная Корея уже начала активно отмывать украденные средства.
Цифровая экономика давно превратилась в огромный переливающийся мыльный пузырь. Мыльные пузыри имеют свойство очень легко лопаться. Сотни тысяч простых наивных игроков потеряли свои последние сбережения. Бедные люди брали огромные микрозаймы для покупки этих глупых виртуальных монстров. Они искренне надеялись прокормить свои большие семьи. Вместо этого они щедро оплатили новую баллистическую ракетную программу закрытого тоталитарного государства. Такова реальная цена одной маленькой ошибки в корпоративной безопасности. Разработчики позже собрали новые инвестиции и попытались компенсировать убытки своим пользователям. Но хрупкое доверие было навсегда уничтожено.
Этот взлом показал всему миру страшную пугающую истину. Вы можете вкладывать миллионы в системы кибербезопасности. Вы можете нанимать лучших криптографов нашей планеты. Вы можете строить неприступные цифровые крепости. Но все это совершенно не имеет никакого смысла. Абсолютно любая сверхсложная система в итоге упирается в конкретного живого человека.
А человек всегда хочет больше денег. Человек всегда хочет чувствовать свою исключительную значимость. Человек всегда готов открыть заманчивый файл на рабочем столе. Иллюзия богатства всегда надежно отключает базовый инстинкт самосохранения. Задайте себе сегодня один простой вопрос. Если завтра в вашей рабочей почте появится письмо с идеальной зарплатой вашей мечты - вы нажмете на прикрепленный файл?
Доброго времени суток. Сегодня мы предметно поговорим о преступлении невероятно глобальных масштабов. О краже без единого разбитого окна или выстрела. Эта циничная история идеально ложится в основу моего исследования человеческой глупости. Самая грандиозная афера нашего короткого века произошла в абсолютной тишине. Орудием взлома стал не кусок тяжелого железа. Им стал обычный документ в формате PDF. И безмерное человеческое тщеславие.
Давайте вернемся в странную эпоху пандемии. Мир наглухо сидит взаперти. Люди массово теряют работу. Начинается тихая глобальная паника. На этом сером унылом фоне внезапно появляется яркий луч света. Игра Axie Infinity. Суть проекта предельно проста. Ты покупаешь мультяшных цифровых монстров. Ты скрещиваешь их между собой. Ты сражаешься на виртуальной арене. За частые победы ты получаешь вполне реальную криптовалюту. Концепция игры ради заработка сводит людей с ума. Жители бедных азиатских стран бросают тяжелую работу на грязных заводах. Они целыми днями покорно кликают мышкой в надежде быстро разбогатеть. Разработчик игры компания Sky Mavis мгновенно взлетает на финансовую вершину. Миллиарды долларов мощной рекой текут через их систему. Они искренне чувствуют себя настоящими богами нового цифрового мира.
Но у каждого самопровозглашенного цифрового бога есть своя фатальная уязвимость. Разработчики создают собственный приватный блокчейн. Он носит гордое имя Ronin. Они агрессивно обещают пользователям полную децентрализацию и абсолютную безопасность активов. На деле это полнейший и наглый обман. Вся эта гигантская сеть держится всего на девяти узлах валидаторах. Для полного контроля над чужими миллиардами долларов нужно захватить всего лишь пять узлов. Захватишь пять удаленных компьютеров - получишь главные ключи от центрального хранилища. Это настоящая архитектурная катастрофа. Заложенная под фундамент бомба замедленного действия. И эту тикающую бомбу уже очень внимательно заметили очень плохие парни.
Хакерская группировка Lazarus напрямую финансируется суровым правительством Северной Кореи. Это абсолютная элита мирового кибершпионажа. Они давно не ломают сложные технические алгоритмы шифрования. Они методично ломают живых людей. Компьютерный алгоритм не знает жадности. Простой человек целиком соткан из алчности и гордыни. Хакеры начинают долгую охоту на старших инженеров Sky Mavis. Главной площадкой для атаки становится социальная сеть LinkedIn. Это идеальное место для классической социальной инженерии. Огромная публичная ярмарка корпоративного тщеславия. Наивные люди сами добровольно выкладывают туда все свои компетенции и карьерные амбиции.
Северокорейцы создают безупречную правдоподобную легенду. Они придумывают вымышленную престижную технологическую компанию. Они красиво оформляют профили фейковых рекрутеров. Они пишут старшему инженеру Sky Mavis личное сообщение. Предложение звучит просто невероятно заманчиво. Огромная зарплата. Элитный социальный пакет. Сказочные перспективы уровня Кремниевой долины. Инженер жадно клюет на эту блестящую приманку. Начинается долгий и очень сложный спектакль. Хакеры проводят с ним несколько серьезных этапов собеседований. Они умно обсуждают технические задачи. Они агрессивно торгуются по условиям контракта. Это длится долгие напряженные недели. Жертва полностью и глубоко погружается в теплую иллюзию собственного величия.
Наступает финал этого блестящего цифрового представления. Вымышленный работодатель отправляет инженеру официальный красивый оффер. Документ упакован в стандартный безобидный PDF-файл. Инженер спокойно сидит за своим рабочим компьютером. Прямо внутри защищенной корпоративной сети Sky Mavis. Он дрожащими от предвкушения руками кликает по файлу. Он ожидает увидеть итоговые цифры с шестью нулями. Документ медленно открывается. Но внутри файла спрятан крошечный шпионский код. Он мгновенно исполняется в скрытом фоновом режиме. Вирус тихо проникает в операционную систему. Инженер ничего странного не замечает. А хладнокровные хакеры Lazarus навсегда получают полный доступ к его машине.
Этого доступа полностью хватает для захвата сразу четырех узлов валидаторов сети Ronin. Но им критически нужен пятый узел. Последний ключ от гигантского сейфа с деньгами. Хакеры находят старую забытую лазейку в коде. Около года назад разработчики временно передали права валидатора сторонней организации Axie DAO. Они просто банально забыли отозвать эти широкие права после окончания пиковых нагрузок. Северокорейцы легко и изящно получают пятую подпись. Главный сейф беззвучно открывается. Происходит тихий вывод огромных средств. 173 тысячи эфиров. 25,5 миллионов стабильных монет USDC. Суммарно это более 620 миллионов полновесных долларов. Огромные деньги растворяются в темном густом лесу блокчейна.
Самое поразительное в этой истории - реакция самих разработчиков. Ее просто не было. Ограбление на полмиллиарда долларов никто в компании даже не заметил. Проходит целый день. Проходит два дня. Проходит шесть долгих суток. Инженеры Sky Mavis продолжают спокойно пить смузи и писать свой код. Они узнают о грандиозной краже только от рядового возмущенного пользователя. Человек просто попытался вывести свои пять тысяч эфиров со счета. Система внезапно выдала ошибку из-за абсолютно пустого резерва. Только тогда корпоративная неповоротливая машина проснулась. Началась дикая массовая паника. Но было уже катастрофически поздно. Северная Корея уже начала активно отмывать украденные средства.
Цифровая экономика давно превратилась в огромный переливающийся мыльный пузырь. Мыльные пузыри имеют свойство очень легко лопаться. Сотни тысяч простых наивных игроков потеряли свои последние сбережения. Бедные люди брали огромные микрозаймы для покупки этих глупых виртуальных монстров. Они искренне надеялись прокормить свои большие семьи. Вместо этого они щедро оплатили новую баллистическую ракетную программу закрытого тоталитарного государства. Такова реальная цена одной маленькой ошибки в корпоративной безопасности. Разработчики позже собрали новые инвестиции и попытались компенсировать убытки своим пользователям. Но хрупкое доверие было навсегда уничтожено.
Этот взлом показал всему миру страшную пугающую истину. Вы можете вкладывать миллионы в системы кибербезопасности. Вы можете нанимать лучших криптографов нашей планеты. Вы можете строить неприступные цифровые крепости. Но все это совершенно не имеет никакого смысла. Абсолютно любая сверхсложная система в итоге упирается в конкретного живого человека.
А человек всегда хочет больше денег. Человек всегда хочет чувствовать свою исключительную значимость. Человек всегда готов открыть заманчивый файл на рабочем столе. Иллюзия богатства всегда надежно отключает базовый инстинкт самосохранения.
Задайте себе сегодня один простой вопрос. Если завтра в вашей рабочей почте появится письмо с идеальной зарплатой вашей мечты - вы нажмете на прикрепленный файл?