80 процентов всех криптовалютных преступлений строились в 2024 году не через технические уязвимости, а через социальную инженерию и фишинг.
Подтверждает тенденции и статистика нынешнего года. В первой его половине уже украдено 2,47 миллиарда USD, что превышает потери за аналогичный отрезок 2024 года. За каждым взломом следует настоящая драма – десятки тысяч пользователей оказываются в беде, под откос летит репутация надежных проектов, которая строилась годами, обычные люди оказываются заложниками чужих амбиций, а Интерпол охотится за хакерами по всему Земному Шару.
Предлагаем погрузиться в историю одной крупнейших криптокатастроф и увидеть, как уязвимости превращают мечты о децентрализации в кошмар.
2022 год. 615 миллионов USD на финансирование армии Северной Кореи
Разве не утопичен мир, где человечество не просто выращивает цифровых питомцев, а зарабатывает этим себе на пропитание? Еще совсем недавно все это было чем-то из категории фантастики в духе киберпанка. Но сегодня филлипинские студенты за счет виртуальных сражений приобретают себе пищу. Венесуэльские таксисты массово бросают крутить баранку ради разведения блокчейновых аксолотлей. Игрушка под названием Axie Infinity превратилась в феномен, став рабочей площадкой для 2,8 миллионов геймеров по всей планете.
И вдруг в мановение ока игрушечная экономика исчезает. Не было никакого вялотекущего кризиса, не рухнул курс. Все случилось так, будто чья-то злодейская рука просто выдернула вилку из розетки. Хакеры с государственным разрешением на ведение преступной деятельности получили от своего тоталитарного режима распоряжение взломать игровую инфраструктуру. Диктатору потребовались средства на финансирование военно-промышленного комплекса.
23.03.2022 северокорейские киберспецслужбы в лице своего элитного подразделения под названием Lazarus взломали блокчейновую магистраль, по которой двигались составы с деньгами из Ethereum в Axie Infinity и обратно – Ronin Network. Система в одночасье обеднела на 173 600 ETH и 25 500 000 USDC. В долларовом эквиваленте на тот момент исчезнувшие средства оценивались в 615 000 000 USD. И, что поразительно – чуть ли ни целую неделю никто не замечал хищения.
Как лопнула игровая артерия
За созданием проекта Ronin Network стоят специалисты студии Sky Mavis. Они разрабатывали его как побочную сеть для Ethereum, которая могла бы служить материнскому блокчейну легкой транзакционной магистралью, где платежи перемещаются быстро и дешево, в сравнении с основной системой. Девелоперы перебросили своеобразный электронный мост между платформами, чтобы игроманы могли легко выводить и заводить свои цифромонеты.
Китами, на которой держалась системы, выступали 9 валидаторов. Необходимо было заручиться всего 5-ю подписями, чтобы перевод был одобрен. Защищенность казалась непробиваемой. Однако злоумышленникам удалось взять под контроль необходимое количество ключей, превратив гипотетическую надежность в ахиллесову пяту. Двумя допускающими печатями владели сами Sky Mavis, одной – организация Axie DAO. Теперь любая операция, осуществляемая взломщиками, приобретала статус санкционированной.
23.03.2022 вывели активов на 6 с лишним миллионов USD. В течение 6-ти дней все продолжало функционировать в штатном режиме. Но тут один из пользователей захотел забрать 5 тысяч ETH. Каково же было его недоумение, когда его запрос нарвался на отказ. По результатам срочно проведенного аудита выяснилось, что казна опустела.
«У пропасти во ржи»
Команда разработчиков очутилась перед экзистенциальным выбором. Создатели могли решиться на признание краха, ведь украденная сумма в несколько раз превышала совокупные денежные запасы лаборатории. Но был вариант объявить проблему следствием некой технической аварии. Однако организатор вьетнамской студии Нгуен Трунг, решил не отмахиваться от ситуации и пошел по третьему пути – положить все, но спасти экосистему.
Компания посвящает апрель активному привлечению инвестиций. Биржа Binance выступает в роли главного донора. К финансированию подключились также ведущие фонды, среди которых a16z, Animoca Brands, Paradigm. Было примагничено 150 000 000 USD. Благодаря сторонним капиталовложениям и остаткам собственных резервов Sky Mavis выплатили пользователям компенсации их убытков.
Параллельным курсом велась переборка Ronin Network. Был расширен валидаторский штаб – их стало 13. Чтобы подтвердить операцию, в новой сборке нужно получить 8 автографов. Добавились независимые операторы. Аудит и мониторинг ведутся в круглосуточном режиме. Урок, который преподнесла ошибка, обернувшаяся хищением 600 с лишним миллионов долларов, показала, какую смертельную опасность несет в себе жертва децентрализацией в угоду удобству.
Реальные ракеты на деньги виртуальной Вселенной
Следователи по горячим следам установили, что за атакой стояли киберпреступники Lazarus Group. В послужном списке хакеров из Северной Кореи покушение на Sony Pictures, Центробанк Бангладеш, из которого они украли 81 000 000 USD, нападения на японские и южнокорейские биржи. Вся их преступная деятельность сводится к пополнению госбюджета тирании, изолированной санкционными флажками.
Власти КНДР руками кибервзломщиков просто реализуют программу государственного выживания. Все цифромонеты, которые удается похитить хакерам, конвертируются в валюту, которая потом подпитывает ядерные проекты и ракетные разработки.
Атака была одновременно и подлой и изящной. Рассылались фишинговые письма, в которых речь шла о фальшивых вакансиях разработчиков. Злоумышленники досконально проштудировали резюме сотрудников студии и на основе этого изготавливали поддельные предложения по трудоустройству. Рассылка содержала вредоносный код. Словно по щелчку в руках у криптомедвежатников оказался доступ к валидаторам.
Однако выяснилось, что деньги мало украсть, их еще необходимо отмыть. Была предпринята попытка дробления виртуальных активов с последующим выводом на децентрализованные платформы и сервисы, занимающиеся анонимизацией средств. Первый пакет ETH в размере 6 500 единиц был реализован уже в конце марта. Но отслеживалось каждое действие преступников.
Наступила середина апреля, а на кошельках хакерской банды мертвым грузом продолжали висеть сотни миллионов USD. Адреса злоумышленников с подачи американского правительства занесли санкционный в список OFAC. Деньги на этих реквизитах мгновенно стали токсичными. Конвертировать их без риска блокировки было невозможно. Затем в августе были инициированы санкции и в отношении криптомиксера Tornado Cash, поскольку он был замечен в том, что через него была пропущена энная сумма похищенных криптодензнаков.
И все же северокорейским криптоворам удалось воспользоваться цепочкой подпольных обменников и обналичить часть денег через некоторые азиатские державы. Пока остается неизвестным, какой объем средств сумел, все-таки, поступить в милитаристскую машину Северной Кореи. Но печален сам факт того, что виртуальные игрушечные зверушки поучаствовали в финансировании строительство ракетных установок для потенциальных атак на США, Южную Корею и Японию и не только.
Все труды миллионов игроков канули втуне
Для многих пользователей вся эта история превратилась в личную трагедию. Огромный процент населения юго-восточной Азии не просто развлекался в Axie Infinity. Люди просто зарабатывали от 300 до 600 USD в игровых активностях, что для данного региона составляет приличную сумму, которую не всегда можно получить из деятельности в реальном мире. Азиаты влезали в кредиты ради покупки игровых персонажей, организовывали арендаторские гильдии. Семьи кормились на токены AXS и SLP, когда все вдруг внезапно прекратилось.
Активы заморозились, цифровые монеты застряли на мосту, котировки свалились. Студентам стало нечем оплачивать свое обучение. Для многих венесуэльских граждан игра была единственным источником дохода. Проект, так эффективно выручавший от кризиса, сам обернулся катастрофой.
Надежда появилась, когда команда Sky Mavis объявила, что готовятся компенсации, однако это никак не возродило подорванное доверие. При первой же возможности, когда Ronin Network включилась снова, геймеры ринулись выводить капиталы. Эпоха монополии в сегменте развлечений «Играй, чтобы заработать» для Axie Infinity подошла к концу. Ее экономика так и не смогла оправиться.
Криптовалютная геополитика
Эта история продемонстрировала, что в наши дни взломы криптопроектов – это больше не дело энтузиастов-одиночек. Целая страна применила кражу цифроактивов, чтобы спонсировать свой военно-промышленный комплекс. Навсегда изменилось восприятие криптоиндустрии.
Мир децентрализованных финансов не признает кордонов. Северокорейские взломщики вскрыли вьетнамскую игру и вывели деньга на изготовление оружия массового уничтожения. То, что поначалу можно было назвать сугубо гейминговым кризисом, приобрело окраску угрозы национальной безопасности.
Но нужно признать, что Sky Mavis удалось справиться с возмещением ущерба, провести инфраструктурное усиление и сохранить компанию, с честью пройдя сквозь катастрофические события. Для компании это были суровые времена. Все прошлые истории оказались не такими ужасными.
Кризис можно обернуть в свою пользу и укрепить пользовательское доверие – доказано Bitfinex. Хакер порой может оказаться альтруистически настроенным философом, как показал опыт Poly Network. Но случай с Ronin Network – это уже факт глобальной политики, когда хакерские атаки подготавливаются и осуществляются целыми государствами.
Этот сценарий привел к тому, что целая цифровая экономика рухнула из-за уязвимости в коде. Урок продемонстрировал, что идея децентрализации не является каким-то абстрактным принципом. Она может стать эффективной страховкой от катастрофических последствий. Разрыв любого моста в блокчейне способен привести к грандиозным потрясениям, ведь мир криптовалют сегодня затрагивает судьбы многих миллионов людей по всему Земному Шару.
Вопрос надежной защиты цифровых экосистем нельзя считать некой технической мелочью. В наши дни – это принцип выживания. Если разработчики будут относиться к ней спустя рукава, мы еще не раз будем наблюдать, как за одну ночь уходят на дно Атлантиды хайповых игр, мощных протоколов и отлаженных криптоэкономик.