Colocar a Segurança da Ponte Transversal sob o Microscópio O Controverso Ronin do Eixo Infinito $620 Milhões Hack

1. Em 29 de Março, Ronin, a cadeia lateral especial do maior jogo de cadeia Axie Infinity, anunciou que tinha sido atacado, com um valor de perda de 616 milhões de dólares, tornando-o no maior roubo da história da DeFi.

2. O hacker conseguiu controlar quatro validadores de nós e um validador de terceiros da ponte Ronin, foi capaz de alcançar o limiar de verificação da ponte de cadeia cruzada e implementar com sucesso o ataque.

3. Actualmente, estes projectos de pontes em cadeia, altamente valiosos e fáceis de atacar, tornaram-se os alvos sérios de muitos hackers.

4. A 5 de Janeiro, Vitalik declarou que o futuro da cadeia de bloqueio é "multi-cadeia" em vez de "cadeia cruzada", e enfatizou os problemas de segurança da cadeia cruzada.

Em 29 de Março, Ronin, a cadeia lateral dedicada do maior jogo de correntes Axie Infinity, anunciou que tinha sido atacada e 173600 ETH e mais de 25 milhões de USDC tinham sido roubados. O valor de perda de Ronin atingiu $616 milhões, ultrapassando os 611 milhões no caso do roubo da Poly Network em Agosto passado, que também se tornou o maior roubo na história da DeFi.


De acordo com as notícias oficiais de Ronin, em 23 de Março, os hackers usaram a chave privada pirateada para entrar no sistema e forjaram duas retiradas falsas para se aperceberem do ataque. Só a 29 de Março, cinco dias depois, é que os funcionários do projecto descobriram o ataque porque um utilizador relatou que 5000 ETH não podiam ser retirados da ponte da corrente cruzada. Após o roubo, os funcionários Ronin pararam imediatamente a Ponte Ronin e Katana, uma troca centralizada na cadeia. Além disso, os oficiais Ronin também disseram que este ataque mostra os potenciais problemas de segurança da ponte Ronin, e a segurança da própria cadeia de bloqueio Ronin ainda está garantida.

Assim que a notícia saiu, os preços de uma variedade de bens relacionados, incluindo AXS e RON, caíram precipitadamente.



Detalhes do ataque Hacker

---

O Axie infinity é actualmente o jogo mais popular de blockchain, com mais de 10 milhões de jogadores em todo o mundo. O jogo criou um modo play-to-earn "de longo alcance". Os jogadores podem ganhar activos NFT ou uma variedade de fichas durante o jogo, e podem ser trocados por outros activos, tais como o WETH e o stablecoin na troca.

A fim de satisfazer os requisitos de adereços de alta frequência de negociação no jogo e reduzir os custos de manuseamento das transacções, a Axie Infinity não utilizou uma rede principal Ethernet mais segura, mas construiu a sua própria cadeia lateral Ethernet de alto desempenho Ronin. Além disso, a fim de assegurar a velocidade da transacção, Ronin adopta um modelo único de consenso do Proof-of-Authority (POA), que tem um pequeno número de verificadores e um elevado grau de centralização. A prova de autoridade requer que estes verificadores tenham uma boa reputação. Eles precisam de apostar a sua reputação "" para se tornarem verificadores. Se o verificador mostrar sinais de mau comportamento ou ameaçar a segurança da rede, a "reputação" será afectada negativamente.


Para jogar Axie Infinity, você precisa de ter três animais de estimação NFT. Os três Axies iniciais são bilhetes para o jogo e precisam de ser comprados na loja de jogos. Por esta razão, a ETH na cadeia de bloqueio Ethereum, deve ser convertida em ETH na cadeia de Ronin. Este processo é feito através de uma ponte especial de cadeia cruzada. Além disso, podemos usar wETH para comprar o Axie na loja de jogos. Aqui é onde a ponte de cadeia cruzada se tornou a fraqueza de Ronin e o avanço deste ataque de hackers.

Anteriormente, um total de nove nós de validação eram co-responsáveis pela manutenção da ponte da cadeia cruzada. Pelo menos cinco assinaturas dos nove nós foram necessárias para identificar com sucesso os eventos de depósito e levantamento na ponte da cadeia cruzada. Neste ataque, o hacker conseguiu controlar as chaves privadas de quatro validadores de nós e um validador de terceiros, atingiu o limiar de validador da ponte da cadeia cruzada, realizou o ataque e retirou o dinheiro com sucesso. É relatado que este validador adicional de terceiros é gerido pelo Axie DAO, mas a permissão da lista branca emitida pelo nó na fase inicial ainda não foi cancelada. O atacante pode obter a assinatura do validador através do nó não gasoso RPC.

Actualmente, Ronin aumentou temporariamente o limiar do validador de ponte de cadeia cruzada de 5 para 8 para eliminar temporariamente o risco de novos ataques. A partir de 6 de Abril, a Katana Dex na cadeia Ronin foi reaberta.


Ponte em cadeia: Salto de Aquiles

---

A ponte em cadeia pode transferir os bens em cadeia de um bloco para outro. Se a cadeia de blocos em si for comparada a um tijolo sólido, a ponte em cadeia é a ligação macia "" entre a cadeia de blocos e a cadeia de blocos. Com o desenvolvimento de toda a indústria da cadeia de blocos, uma variedade de diferentes cadeias públicas emerge sem fim. Porque estas cadeias públicas não são interoperáveis, a ponte da cadeia que pode comunicar entre si tornou-se cada vez mais importante.

Neste ataque, os hackers não usaram as lacunas do contrato inteligente para atacar, mas atacaram a ponte da cadeia cruzada entre Ronin e Ethereum. E o método de ataque é também relativamente primitivo, roubando directamente as chaves privadas de múltiplos nós de validação de pontes de cadeia cruzada. Actualmente, um grande número de projectos de pontes em cadeia utilizam a tecnologia de múltiplas assinaturas semelhante à ponte Ronin, e estes projectos também enfrentam riscos semelhantes de serem pirateados. Após uma auditoria de código relativamente rigorosa, a segurança da própria cadeia de bloqueio foi garantida, e a ponte da cadeia cruzada com TVL extremamente alta tornou-se o salto de Aquiles "" ameaçando a segurança da cadeia de bloqueio.

De acordo com a Dune Analytics, só a ponte de cadeia cruzada Ethereum TVL atingiu 21,06 mil milhões de dólares. Entre elas, a TVL de Polígono, Avalanche, Arbitrum, Fantom e Pontes Quase Cruzadas ultrapassou os mil milhões de dólares. Estes projectos de pontes em cadeia, altamente valiosos e fáceis de atacar, tornaram-se os alvos sérios de muitos hackers.


De facto, nos últimos meses, tem havido muitos ataques de hackers contra pontes de cadeias cruzadas. Em 27 de Janeiro de 2022, a Ponte Qubit foi invadida e um certo montante em USD foi eventualmente transferido; Em 2 de Fevereiro, a Ponte Wormhole foi também invadida e perdeu 320 milhões de dólares; Em 5 de Fevereiro, outra ponte de cadeia cruzada, a Ponte Meter.io perdeu 4,2 milhões de dólares nas mãos do hacker.


Em 5 de Janeiro de 2022, Vitalik, fundador do Ethereum, declarou na Reddit que o futuro da cadeia de bloqueio é "multi-cadeia" em vez de "cadeia cruzada", e enfatizou os problemas de segurança da cadeia cruzada. Numa única cadeia de bloqueio, mesmo no pior dos casos, ainda é possível restaurar a cadeia de bloqueio ao seu estado original. Uma vez envolvida a cadeia cruzada, o problema é difícil de resolver.


Conclusão

---

A segurança DeFi tem sido sempre uma grande dificuldade na aplicação generalizada da cadeia de bloqueio. No mundo do "código é lei", se existem lacunas nas regras, seria muito mau. Com o aperfeiçoamento de tecnologias relevantes, esperamos sinceramente que um mundo descentralizado mais seguro possa vir o mais rapidamente possível.



Autor: Gate.io Pesquisador: Edward H. Tradutor: Joy Z.
* Este artigo representa apenas a opinião do pesquisador e não constitui nenhuma sugestão de investimento.
*Gate.io reserva-se todos os direitos sobre este artigo. O reporte do artigo será permitido desde que o Gate.io seja referenciado. Em todos os outros casos, serão tomadas medidas legais devido à violação dos direitos de autor.



Gate.io Artigos em Destaque
Porque é que o Cross Chain Bridges Matter
TheDAO História do garfo duro Ethereum Explicada
Theft：TheAave V3 Lançada, Liderando Poderosamente o Sector DeFi