SKY:慢雾：损失超6.1亿美元，详解Ronin Network黑客事件始末

2022年03月29日，AxieInfinity?侧链RoninNetwork发布社区预警，RoninNetwork出现安全漏洞，RoninBridge共17.36万枚?ETH?和2550万枚?USDC?被盗，损失超6.1亿美元。慢雾安全团队第一时间介入分析，并将分析结果分享如下。

相关信息

Ronin是以太坊的一个侧链，专门为链游龙头AxieInfinity而创建，它自称是将朝着「NFT?游戏最常用的以太坊侧链」方向发展。据了解，AxieInfinity的团队SkyMavis想要一个可靠、快速且廉价的网络，从而为游戏的发展提供保障。他们需要一个以游戏为先的扩容方案，它不仅要能经得起时间的考验，还得满足游戏快速发展所带来的大量需求。于是，Ronin链便应运而生了。

Nexo与联合创始人争夺公司钱包里的1200万美元加密资产:金色财经报道，加密交易平台Nexo正在英国法院与一名联合创始人争夺1200万美元的失踪资产。Nexo表示，联合创始人离开时带走了该公司加密货币的硬件钱包。

根据伦敦高等法院6月27日的法院判决，Nexo及其联合创始人Georgi Shulev正在争论包含该公司部分加密资产的Ledger硬件钱包的下落。Shulev于2019年离开Nexo。自2022年以来，这一法律纠纷一直在持续。

文件显示，早些时候，双方一直在争夺一个BitMEX账户的控制权，该账户由Shulev以他的名义开立，但代表Nexo。自从Shulev在2019年被Nexo解雇，并且无法访问他的公司电子邮件以来，他和Nexo都在试图接管该账户。[2023/7/14 10:54:13]

黑客地址：

矿企CleanSpark以4050万美元购买12500台比特大陆矿机:金色财经报道，根据周四的一份新闻稿，比特币矿企CleanSpark (CLSK)以4050万美元的价格购买了12500台比特币挖矿设备。这些机器将为CleanSpark增加1.76 exahash/s (EH/s)的算力，使它们更接近2023年底16 EH/s的目标。截至4月底，该公司的算力为6.7 EH/s。

新闻稿称，第一批6000台蚂蚁矿机S19 XP将在6月份由制造商发货，其余的将在8月份发货。[2023/6/1 11:52:55]

0x098B716B8Aaf21512996dC57EB0615e2383E2f96

欧洲证券和市场管理局 (ESMA) 为DLT试点推荐ISO标准DTI代码:1月11日消息，欧洲证券和市场管理局 (ESMA) 已推荐 ISO 标准数字令牌标识符 (DTI) 代码用于其分布式账本技术 (DLT) 试点监管制度，该制度将于 2023 年 3 月 23 日生效。该试点建立在现有的 MiFIR 基础上包括代币化金融工具的法规。ESMA 声称，这将提高交易前和交易后的透明度，同时使基于 DLT 的证券受到更严格的市场滥用审查。

DTI基金会是Etrading Software 的贸易部门，为数字资产和 DLT 提供 ISO 标准识别码。它声称，这允许加强欧盟监管，同时更有效地监控稳定币和数字资产系统性风险。目前，可用于常用交易数字资产的 ISO 标识代码超过 1000 个。[2023/1/11 11:06:33]

攻击细节

加密用户身份验证初创公司Notebook Labs完成330万美元种子轮融资:10月27日消息，加密用户身份验证初创公司 Notebook Labs 宣布完成 330 万美元种子轮融资，Bain Capital Crypto 领投，Y Combinator、Soma Capital、Abstract Ventures、Pioneer Fund 和 NFX 等参投。Notebook 通过利用零知识证明技术为 Web3 用户提供隐私和匿名服务，以防止包括女巫攻击在内的黑客侵袭，该团队将在未来几个月内继续开发产品套件，包括信用评分和跨链功能，相关产品将在 2023 年推出。（雅虎财经）[2022/10/27 11:49:36]

据官方发布的信息，攻击者使用被黑的私钥来伪造提款，仅通过两次交易就从Roninbridge中抽走了资金。值得注意的是，黑客事件早在3月23日就发生了，但官方据称是在用户报告无法从bridge中提取5kETH后才发现这次攻击。本次事件的损失甚至高于去年的PolyNetwork?被黑事件，后者也窃取了超过6亿美元。

事情背景可追溯到去年11月，当时SkyMavis请求Axie?DAO?帮助分发免费交易。由于用户负载巨大，AxieDAO将SkyMavis列入白名单，允许SkyMavis代表其签署各种交易，该过程于12月停止。但是，对白名单的访问权限并未被撤销，这就导致一旦攻击者获得了SkyMavis系统的访问权限，就能够通过gas-freeRPC从AxieDAO验证器进行签名。SkyMavis的Ronin链目前由九个验证节点组成，其中至少需要五个签名来识别存款或取款事件。攻击者通过gas-freeRPC节点发现了一个后门，最终攻击者设法控制了五个私钥，其中包括SkyMavis的四个Ronin验证器和一个由AxieDAO运行的第三方验证器。

MistTrack

在事件发生后，慢雾第一时间追踪分析并于北京时间3月30日凌晨1:09发声。

据慢雾MistTrack反追踪系统分析，黑客在3月23日就已获利，并将获利的2550万枚USDC转出，接着兑换为ETH。

而在3月28日2:30:38，黑客才开始转移资金。

据慢雾MistTrack分析，黑客首先将6250ETH分散转移，并将1220ETH转移到?FTX、1ETH转到Crypto.com、3750ETH转到Huobi。

值得注意的是，黑客发起攻击资金来源是从Binance提币的1.0569ETH。

目前，Huobi、Binance?创始人均发表了将全力支持AxieInfinity的声明，FTX的CEOSBF也在一封电子邮件中表示，将协助取证。

截止目前，仍有近18万枚ETH停留在黑客地址。

目前黑客只将资金转入了中心化平台，很多人都在讨论黑客似乎只会盗币，却不会洗币。尽管看起来是这样，但这也是一种常见的简单粗暴的洗币手法，使用假KYC、代理IP、假设备信息等等。从慢雾目前获取到的特殊情报来看，黑客并不“傻”，还挺狡猾，但追回还是有希望的，时间上需要多久就不确定了。当然，这也要看执法单位的决心如何了。

总结

本次攻击事件主要原因在于SkyMavis系统被入侵，以及AxieDAO白名单权限维护不当。同时我们不妨大胆推测下：是不是SkyMavis系统里持有4把验证器的私钥？攻击者通过入侵SkyMavis系统获得四个验证节点权限，然后对恶意提款交易进行签名，再利用?AxieDAO对SkyMavis开放的白名单权限，攻击者通过gas-freeRPC向AxieDAO验证器推送恶意提款交易获得第五个验证节点对恶意提款交易的签名，进而通过?5/9签名验证。

最后，在此引用安全鹭的建议：

1、私钥最好通过安全多方计算消除单点风险；

2、私钥分片分散到多台硬件隔离的芯片里保护；

3、大资金操作应有更多的策略审批保护，保证资金异动第一时间由主要负责人获悉并确认；

4、被盗实际发生时间是3月23日，项目方应加强服务和资金监控。

参考链接：

RoninNetwork官方分析

标签：AXISKYMAVAVIAxionSKYFT价格MamaVerseAviator

狗狗币最新价格热门资讯