Ronin被黑，詳解6.1億美元“何去何從”_SKY:ONI

后知后覺金錢消失術

在加密世界中，私鑰管理和保持私鑰安全性，一直是個重要的話題。

近日，當下最流行的NFT游戲AxieInfinity側鏈RoninNetwork受到黑客攻擊，造成價值約6.1億美金的加密貨幣被盜。其中攻擊者竊取了17.36萬枚ETH以及2550萬枚USDC。

值得一提的是，該攻擊于3月23日就已發生，但是5天后才因用戶報告無法提取5000ETH而發現該攻擊。

澳大利亞VentureCrowd擬募資1400萬美元以投資Web3市場:金色財經報道，澳大利亞風險投資公司VentureCrowd正在募資1400美元，旨在擴張東南亞市場并加大Web3和區塊鏈領域的投資，截至目前該風投已鎖定超過600萬美元資金。VentureCrowd表示，一旦這筆融資交易結束就將探索Web3市場，而且現在已經開始著手研究相關要素并將這一戰略視為“財富科技的未來”，包括現實世界資產代幣化、區塊鏈安全等。（businessnewsaustralia）[2023/3/21 13:16:55]

AxieInfinity是一款類似口袋妖怪的游戲，玩家可以在游戲中賺取加密貨幣；RoninNetwork則是為了實現高TransactionsPerSecond(TPS)并且讓用戶有更流暢游戲體驗而開發的側鏈；RoninBridge協助將加密貨幣轉入和轉出RoninNetwork；它們同屬SkyMavis運營。

Galaxy的以太坊基金已購買7500萬美元的ETH:7月20日消息，美國SEC監管文件顯示，Galaxy的機構以太坊基金已經購買7500萬美元的ETH。此次購買是代表21位投資者進行的，每位投資者至少投資10萬美元。（Trust Nodes）[2022/7/21 2:26:59]

驗證節點失守

為了識別存款及取款事件，Ronin需要驗證九個驗證節點中的五個簽名。而攻擊者黑了4個SkyMavis的私鑰，制造了5個合法的簽名，即：4個SkyMavis驗證器和1個AxieDAO運行的第三方驗證器產生的簽名。

廣東發布數字經濟發展指引性文件，區塊鏈等數字經濟新興產業重點布局:7月8日，在2022中國數字經濟創新發展大會開幕式上，《廣東省數字經濟發展指引1.0》正式發布。《指引》也對廣東如何部署兩大“核心”其進一步明確。在數字產業化方面，《指引》提出，廣東將圍繞消費電子產業、電子系統產業、軟件和信息技術服務業、互聯網和相關服務等數字經濟核心產業，以及云計算、大數據、人工智能、區塊鏈、網絡安全等數字經濟新興產業重點布局。對此，廣東也將圍繞加快重點產業培育、推動行業融通發展、優化產業生態環境三個層面，出臺系列舉措支持相關產業發展。（21財經）[2022/7/8 2:00:58]

SkyMavis的私鑰被入侵后，攻擊者利用簽名來制造“提款證明”。而在該漏洞發生后，SkyMavis已決定將所需驗證節點簽名增加至8個。

節點驗證雖已去中心化，但黑客卻發現了gas-freeRPC的一個后門。

早在2021年11月的一次AxieDAO活動中，AxieDAO賦予了SkyMavis代表其簽署交易的權限。但該權限后續并未被撤銷。

即：攻擊者一旦獲得了SkyMavis的訪問權限，即可通過gas-freeRPC獲得AxieDAO的簽名。

6億美金“何去何從”

在此，CertiK利用CertiKSkytrace總結了一份資金流動去向圖：

總結及建議

此次事件是由于私鑰管理不善而造成的。CertiK在此提醒用戶和項目方管理私鑰的重要性。

SkyMavis在項目中應用了多簽來避免單點故障，這是安全方面的一大進步。多簽指的是需要多個密鑰來授權交易，而不是一個密鑰的單一簽名。

然而早期活動期間發放的權限未被撤銷，從而令黑客有機可乘。因此切記在事件或功能完成后撤銷允許列表以及白名單訪問是非常重要的。

本次事件的預警已于第一時間在CertiK官方推特進行了播報。

除此之外，CertiK官網https://www.certik.com/也已添加社群預警功能。在官網上，大家可以隨時看到與漏洞、黑客襲擊以及RugPull相關的各種社群預警信息。

參考鏈接：https://roninblockchain.substack.com/p/community-alert-ronin-validators?s=w?https://rekt.news/ronin-rekt/

Tags：SKYSKYMAVIONISKYRIM幣SKYM幣TAVITT幣MooniWar

屎幣