V rámci útoku se neznámému hackerovi podařilo získat kontrolu nad čtyřmi validačními uzly sítě Ronin Network.
Síť Ronin Network, sidechain založený na Ethereu, který vytvořil vývojář Axie Infinity Sky Mavis na podporu své populární hry založené na nepěněžních tokenech, byla dnes zneužita neznámým hackerem (nebo skupinou hackerů) a přišla o kryptohodnotu zhruba 615 milionů dolarů.
„Ronin bridge“ byl zneužit pro 173 600 ethereí a 25,5 milionu USDC. Ronin bridge a Katana Dex byly zastaveny,“ odhalila dnes společnost Ronin Network na Twitteru a dodala:
„Spolupracujeme s orgány činnými v trestním řízení, forenzními kryptografy a našimi investory, abychom se ujistili, že všechny prostředky budou získány zpět nebo vráceny. Všechny AXS, RON a SLP na Roninu jsou nyní v bezpečí.“
V síti Ronin došlo k narušení bezpečnosti.https://t.co/ktAp9w5qpP
– Ronin (@Ronin_Network) 29. března 2022
Podle komunitního upozornění sítě byl její most Ronin, protokol pro interoperabilitu blockchainu, který umožňuje uživatelům převádět svá aktiva mezi řetězcem Ronin a hlavní sítí Ethereum, zneužit k získání 173 600 ethereí (v současné době v hodnotě něco přes 588 milionů USD) a stabilních mincí USDC v hodnotě 25,5 milionu USD.
„Dnes jsme zjistili, že 23. března byly kompromitovány uzly validátoru Ronin společnosti Sky Mavis a uzly validátoru Axie DAO,“ prozradila společnost Sky Mavis. „Útočník použil hacknuté soukromé klíče, aby zfalšoval falešné výběry. Útok jsme objevili dnes ráno po hlášení uživatele, který nemohl vybrat 5k ETH z mostu.“
„Všechny vaše uzly patří nám „
Vývojáři dále vysvětlili, že řetězec Ronin se v současné době skládá z devíti validujících uzlů, z nichž pět musí poskytnout své podpisy, aby mohl být proveden jakýkoli vklad nebo výběr. V rámci útoku se hackerovi podařilo získat kontrolu nad čtyřmi takovými uzly a k nahrazení pátého uzlu použil další validátor třetí strany provozovaný společností Axie DAO.
„Schéma klíčů validátorů je nastaveno jako decentralizované, takže omezuje vektor útoku, podobně jako v tomto případě, ale útočník našel zadní vrátka přes náš uzel RPC bez plynu, která zneužil k získání podpisu pro validátor Axie DAO,“ vysvětlili vývojáři.
Pozoruhodné je, že to bylo možné díky tomu, že Sky Mavis loni v listopadu požádal o pomoc Axie DAO, aby „mohl distribuovat volné transakce kvůli enormnímu zatížení uživatelů“. V rámci této dohody Axie DAO „povolila“ Sky Mavis podepisovat transakce jejím jménem.
Nicméně zatímco tato dohoda byla v prosinci 2021 ukončena, přístup na allowlist nebyl podle oznámení zrušen.
Pokračování
V návaznosti na dnešní útok zvýšili vývojáři řetězce Ronin práh validátorů z pěti na osm a v současné době jsou „v kontaktu s bezpečnostními týmy hlavních burz a v následujících dnech všechny osloví“. Kromě toho probíhá migrace uzlů sidechainu ze staré infrastruktury.
„Dočasně jsme pozastavili provoz Ronin Bridge, abychom zajistili, že nezůstanou otevřené žádné další vektory útoku. Společnost Binance rovněž vypnula svůj most z/do Roninu, aby byla na straně opatrnosti. Most bude zprovozněn později, jakmile si budeme jisti, že z něj nemohou být odčerpány žádné finanční prostředky,“ uvedla Sky Mavis. „Spolupracujeme se společností Chainalysis na monitorování odcizených prostředků.“
Vzhledem k aktuální dolarové hodnotě ztracených prostředků se dost možná jedná o největší hackerský útok v historii decentralizovaných financí (DeFi). Zatímco krypto burza Mt. Gox v roce 2014 slavně přišla o přibližně 850 000 Bitcoinů – což by v současnosti mělo hodnotu 40,2 miliardy dolarů – toto číslo bylo v té době mnohem menší, protože Bitcoin se obchodoval za zlomek své dnešní ceny.
Dosud byl za největší oběť hackerského útoku DeFi považován cross-chain bridging protokol Poly Network poté, co byl loni v srpnu zneužit pro zhruba 604 milionů dolarů. V tomto případě však hacker později většinu ukradených prostředků vrátil.
