Ronin Network Hack 2022: Lazarus Curi $625 Juta dari Axie Infinity

Konteks Operasional

Operasi ini menargetkan Ronin Bridge, infrastruktur kritis yang menghubungkan blockchain Ethereum dengan game Axie Infinity. Serangan ini memanfaatkan celah dalam mekanisme konsensus validator, di mana hanya diperlukan 5 dari 9 private key untuk mengotorisasi transaksi. Target utama adalah aset kripto senilai $625 juta, yang dicuri melalui eksploitasi langsung terhadap sistem validasi.

Vektor Awal & Lateral Movement

Vektor awal serangan adalah spear phishing melalui LinkedIn, dengan mengirimkan tawaran pekerjaan palsu kepada senior engineer Sky Mavis. Dokumen PDF yang dilampirkan mengandung malware yang digunakan untuk mendapatkan akses ke sistem korban. Setelah mendapatkan akses awal, pelaku melakukan lateral movement untuk mengumpulkan informasi lebih lanjut tentang infrastruktur validator Ronin. Mereka berhasil mengkompromisi 4 private key dari Sky Mavis dan 1 dari Axie DAO yang telah dinonaktifkan namun masih valid.

Pivot Yang Sering Diabaikan Defender

Pivot kritis dalam serangan ini adalah penggunaan private key validator yang telah dinonaktifkan. Defender sering mengabaikan risiko dari komponen yang tidak aktif tetapi masih memiliki kemampuan teknis untuk mengotorisasi transaksi. Selain itu, kurangnya monitoring terhadap aktivitas konsensus validator memungkinkan pelaku untuk melakukan eksploitasi tanpa terdeteksi selama 6 hari. Defender juga gagal mengidentifikasi pola komunikasi yang tidak biasa antara validator yang dikompromikan.

Pelajaran untuk Tim Indonesia

• Audit rutin terhadap komponen yang dinonaktifkan: Pastikan semua komponen yang tidak aktif tetapi masih memiliki kemampuan teknis dihapus atau diamankan.
• Enhanced phishing awareness: Latih tim untuk mengidentifikasi dan menghindari serangan phishing yang semakin canggih.
• Monitoring aktivitas validator: Implementasikan sistem monitoring yang dapat mendeteksi pola aktivitas yang tidak biasa dalam jaringan validator.
• Multi-factor authentication: Gunakan MFA untuk semua akses kritis, termasuk akses ke private key validator.

Indikator Detection Yang Bisa Dipasang Besok

• Anomali dalam aktivitas konsensus validator: Deteksi transaksi yang diotorisasi oleh kombinasi validator yang tidak biasa.
• Komunikasi tidak biasa antara validator: Monitor pola komunikasi antara validator untuk mengidentifikasi aktivitas yang mencurigakan.
• Akses ke private key yang tidak biasa: Deteksi akses ke private key validator di luar waktu atau lokasi yang biasanya.
• File PDF yang mencurigakan: Implementasikan deteksi malware pada file PDF yang diterima melalui email atau platform komunikasi lainnya.