Ronin Network被黑一圖詳解6.1億美元“何去何從”_ONI:天網幣SKYNET

Author：

Time：1900/1/1 0:00:00

在加密世界中，私鑰管理和保持私鑰安全性，一直是個重要的話題。

近日，當下最流行的NFT游戲Axie Infinity側鏈Ronin Network受到黑客攻擊，造成價值約6.1億美金的加密貨幣被盜。其中攻擊者竊取了17.36萬枚ETH以及2550萬枚USDC。

值得一提的是，該攻擊于3月23日就已發生，但是5天后才因用戶報告無法提取5000 ETH而發現該攻擊。

Axie Infinity是一款類似口袋妖怪的游戲，玩家可以在游戲中賺取加密貨幣；Ronin Network則是為了實現高Transactions Per Second (TPS)并且讓用戶有更流暢游戲體驗而開發的側鏈；Ronin Bridge 協助將加密貨幣轉入和轉出 Ronin Network；它們同屬Sky Mavis運營。

DeFi和鏈游公司Spielworks與Cronos等合作推出 Web3 游戲加速器“Wombat X”:金色財經報道，DeFi 和鏈游公司 Spielworks 宣布推出 Web3 游戲加速器“Wombat X”，該加速器的合作伙伴包括基于 Cosmos SDK 構建的 EVM 兼容 Layer 1 網絡 Cronos、以及 Web3 基礎設施服務提供商 Newcoin，其他參與者包括 EOS Network 基金會、Avicenne、Lifty、Beamable。據悉，入選 Wombat X 加速器的 Web3 游戲項目將獲得資助、教育、以及游戲玩家社區參與等方面的支持。（businesswire）[2023/5/12 14:58:36]

為了識別存款及取款事件，Ronin需要驗證九個驗證節點中的五個簽名。而攻擊者黑了4個Sky Mavis的私鑰，制造了5個合法的簽名，即：4 個 Sky Mavis 驗證器和 1 個 Axie DAO運行的第三方驗證器產生的簽名。

YFI創始人Andre Cronje參與Gitcoin Stewards治理:YFI創始人Andre Cronje發推稱自己已申請參與Gitcoin Stewards治理。根據其發布的自我介紹內容，“Gitcoin用戶名：@andrecronje | Gitcoin。ETH地址：andrecronje.eth。

意向聲明/價值觀和加入理由：我很早就認同Gitcoin的理念，對我來說，從DeFi開始最困難的事情之一就是試圖獲得審計甚至部署的資金。Gitcoin本身幫助我支付了大量的費用，并允許我構建自己已經啟動的大多數項目。展望未來，我希望繼續傳遞善意。開源資金很容易被濫用，所以我想提供我的技術專長和見解來幫助確定高質量的候選人并提供指導，同時辨別出機會主義者。Web3資格/技能：我對智能合約和Solidity有所涉獵。”[2021/6/1 23:02:03]

Sky Mavis的私鑰被入侵后，攻擊者利用簽名來制造“提款證明”。而在該漏洞發生后，Sky Mavis已決定將所需驗證節點簽名增加至8個。

Saffron社區代表Mia：關于波卡、DeFi或者NFT的賽道里，建議找大機構頭部篩選過的產品:4月12日消息，在《佟掌柜的海外朋友們優質海外項目分享》會上，Saffron社區代表Mia表示，關于波卡、DeFi或者NFT的賽道里，從去年的10月份到現在，我看了NFT項目超過一百個，我建議大家找大機構頭部，他們畢竟篩選過產品，如果買NFT單個的產品希望大家有很多共識，比如NFT產品本身有很多人認可，如果新的東西建議大家理性一點地做一些調查，前期發了一些NFT，比如大平臺買完之后，因為自己不了解，看到大家搶，買完了之后賣不出去，于是造成了損失。在每一個大型的公鏈發展到現在生態逐漸好了之后上面有很多機會。

關于DeFi領域我特別推崇，因為它更接近于傳統金融的工具，如果風險偏好比較低可以選擇無損挖礦，如果風險偏好比較高可以找大平臺相對收益較高但比較穩定的項目選擇，我們Saffron平臺是很好的選擇。

在DeFi其他的生態領域里，比如做借貸和交易，如果有機會能投到去中心化交易所很早期是很好的選擇，如果后期溢價就太高了，就不太適合了。[2021/4/12 20:11:20]

節點驗證雖已去中心化，但黑客卻發現了gas-free RPC的一個后門。

早在2021年11月的一次Axie DAO活動中，Axie DAO賦予了Sky Mavis代表其簽署交易的權限。但該權限后續并未被撤銷。

即：攻擊者一旦獲得了Sky Mavis的訪問權限，即可通過gas-free RPC獲得Axie DAO的簽名。

在此， CertiK利用CertiK Skytrace總結了一份資金流動去向圖：