近日，攻擊者從Axi Infinity的側(cè)鏈 Ronin 跨鏈橋竊取了價(jià)值近6.25億美元的以太坊(Ethereum)和USDC(一種與美元掛鉤的穩(wěn)定幣)。 這次攻擊事件發(fā)生在3月23日，但直到3月29日一位用戶無法提取其5000以太坊后才漸漸浮出水面。

Ronin Network是一個(gè)以太坊連接的側(cè)鏈，用于區(qū)塊鏈游戲Axi Infinity。

本次攻擊中，攻擊者共計(jì)盜取了大約17.36萬以太坊和2550萬USDC。而Ronin bridge和 Katana Dex在襲攻擊發(fā)生后被緊急叫停了。

事后，Axi Infinity通過官方Discord和Twitter賬號(hào)以及Ronin Network披露了存在的安全漏洞，

“Ronin Network出現(xiàn)了安全漏洞。今天早些時(shí)候，我們發(fā)現(xiàn)Sky Mavis的Ronin驗(yàn)證器節(jié)點(diǎn)和Axie DAO驗(yàn)證器節(jié)點(diǎn)在3月23日遭到破壞，導(dǎo)致173,600個(gè)以太坊和2550萬USDC在兩次交易(1和2)中從Ronin橋中流失?！?/p>

Axi Infinity還寫道，“攻擊者使用被破解的私鑰來偽造取款。今天早上，我們?cè)诮拥揭环萦脩魺o法從橋上取出5千以太坊的報(bào)告后發(fā)現(xiàn)了這次攻擊?！?/p>

龐大的被盜資金數(shù)量使此次攻擊成為了歷史上最大的加密攻擊，超過了2021年8月對(duì)DeFi protocol Poly Network的6.11億美元黑客攻擊。

當(dāng)前，Sky Mavis的Ronin鏈由9個(gè)驗(yàn)證節(jié)點(diǎn)組成，而為了確認(rèn)交易信息，需要9個(gè)驗(yàn)證器簽名中的5個(gè)。攻擊者設(shè)法控制了5個(gè)驗(yàn)證器簽名，Sky Mavis的4個(gè)Ronin驗(yàn)證器和一個(gè)由Axie DAO運(yùn)營(yíng)的第三方驗(yàn)證器。

對(duì)此，Axi Infinity 的工作人員解釋道，“驗(yàn)證器密鑰方案是被設(shè)置成去中心化的，這樣它就可以限制攻擊向量，可是這次的攻擊者通過我們的無氣體RPC節(jié)點(diǎn)發(fā)現(xiàn)了一個(gè)后門，他們使用這個(gè)后門來獲得Axie DAO驗(yàn)證器的簽名?！?/p>

目前，Axi Infinity公司方面已經(jīng)報(bào)告了執(zhí)法部門，并聘請(qǐng)了一名法醫(yī)密碼學(xué)家調(diào)查這一事件此外，公司也同時(shí)表示，它將盡全力追回和補(bǔ)償在本次攻擊中被盜的資金。

參考來源：https://securityaffairs.co/wordpress/129609/cyber-crime/625m-axie-infinity-ronin-hack.html