Ronin Network被黑 一圖詳解6.1億美元“何去何從”

發表於 2022-03-31 10:10 作者： CertiK中文社區

後知後覺 金錢消失術

在加密世界中，私鑰管理和保持私鑰安全性，一直是個重要的話題。

近日，當下最流行的NFT遊戲Axie Infinity側鏈Ronin Network受到黑客攻擊，造成價值約6.1億美金的加密貨幣被盜。其中攻擊者竊取了17.36萬枚ETH以及2550萬枚USDC。

值得一提的是，該攻擊於3月23日就已發生，但是5天後才因用戶報告無法提取5000 ETH而發現該攻擊。

Axie Infinity是一款類似口袋妖怪的遊戲，玩家可以在遊戲中賺取加密貨幣；Ronin Network則是爲了實現高Transactions Per Second (TPS)並且讓用戶有更流暢遊戲體驗而开發的側鏈；Ronin Bridge 協助將加密貨幣轉入和轉出 Ronin Network；它們同屬Sky Mavis運營。

驗證節點失守

爲了識別存款及取款事件，Ronin需要驗證九個驗證節點中的五個籤名。而攻擊者黑了4個Sky Mavis的私鑰，制造了5個合法的籤名，即：4 個 Sky Mavis 驗證器和 1 個 Axie DAO運行的第三方驗證器產生的籤名。

Sky Mavis的私鑰被入侵後，攻擊者利用籤名來制造“提款證明”。而在該漏洞發生後，Sky Mavis已決定將所需驗證節點籤名增加至8個。

節點驗證雖已去中心化，但黑客卻發現了gas-free RPC的一個後門。

早在2021年11月的一次Axie DAO活動中，Axie DAO賦予了Sky Mavis代表其籤署交易的權限。但該權限後續並未被撤銷。

即：攻擊者一旦獲得了Sky Mavis的訪問權限，即可通過gas-free RPC獲得Axie DAO的籤名。

6億美金“何去何從”

在此， CertiK利用CertiK Skytrace總結了一份資金流動去向圖：

總結及建議

此次事件是由於私鑰管理不善而造成的。

CertiK在此提醒用戶和項目方管理私鑰的重要性。

Sky Mavis在項目中應用了多籤來避免單點故障，這是安全方面的一大進步。多籤指的是需要多個密鑰來授權交易，而不是一個密鑰的單一籤名。

然而早期活動期間發放的權限未被撤銷，從而令黑客有機可乘。因此切記在事件或功能完成後撤銷允許列表以及白名單訪問是非常重要的。

參考鏈接：

https://roninblockchain.substack.com/p/community-alert-ronin-validators?s=w 

https://rekt.news/ronin-rekt/

標題：Ronin Network被黑 一圖詳解6.1億美元“何去何從”

地址：https://www.coinsdeep.com/article/1704.html

鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播信息之目的，不構成任何投資建議，如有侵權行為，請第一時間聯絡我們修改或刪除，多謝。