Ronin Network - REKT

Poly Network ha sido destronado del primer puesto.

~$624M robados de Ronin Network.

Y nadie se dio cuenta durante seis días.

Cuando finalmente lo notaron, el equipo de Ronin anunció que:

"Descubrimos el ataque esta mañana después de recibir un informe de un usuario que no pudo retirar 5k ETH del bridge".

Imagínese cómo se sintió el equipo de Ronin cuando descubrieron que el bridge había sido drenado casi una semana antes.

El nuevo hack más grande de la historia de las criptomonedas.

Pero, ¿podrá el atacante salirse con la suya?

Con la creciente popularidad de Axie Infinity, Ronin se lanzó como una side-chain de Ethereum en Febrero de 2021 para proporcionar transacciones rápidas y económicas necesarias para que funcione el juego p2e.

Para maximizar las TPS, se dejó de lado la descentralización y eligieron un modelo de Proof of Authority que requiere confiar en tan solo 9 validadores, quienes ponen en juego solamente su reputación.

De estos nueve validadores, se necesitaba un consenso de cinco para aprobar transacciones de depósitos y retiros.

Cuatro de los validadores son operados por Sky Mavis, lo que significa que en caso de una vulnerabilidad en su seguridad, solo se necesitaba una firma más para controlar la red.

Aunque la Community Alert oficial no brinda detalles sobre cómo se comprometieron los validadores de Sky Mavis, sí señala la vulnerabilidad que llevó al atacante a obtener el control de la quinta firma requerida.

El atacante pudo obtener acceso al validador adicional gracias a un acuerdo entre Sky Mavis y Axie DAO en Noviembre del año pasado. Se estableció un nodo RPC gas-free, para aliviar los costos de los usuarios durante un período de intenso tráfico en la red en el que el precio de AXS alcanzó su punto máximo.

Esto requería que Axie DAO aprobará los validadores de Sky Mavis para firmar transacciones en su nombre.

A pesar de que el acuerdo sólo duró hasta el mes siguiente, el acceso a la whitelist nunca fue revocado, lo que permitió al atacante que había comprometido los validadores de Sky Mavis usar la firma adicional (Axie DAO) necesaria para aprobar las transacciones.

Luego, el atacante autorizó dos retiros, drenando primero 173,600 ETH y luego 25.5M USDC del contrato de Ronin Bridge . Los 25,5M de USDC se cambiaron por ETH a través de otras addresses antes de devolverlos a la wallet principal.

Tal vez en un intento de complicar la persecución, se transfirieron 6250 ETH de la wallet, algunos de los cuales se transfirieron a FTX y Crypto.com. La address también fue inicialmente financiada desde Binance, pero las cuentas con KYC se pueden comprar fácilmente.

El resto de los fondos se quedaron en la dirección del atacante:

0x098b716b8aaf21512996dc57eb0615e2383e2f96

Este robo será recordado no solo por su magnitud, sino por la surrealista falta de conciencia mostrada por el equipo de Ronin.

Parece impensable que su infraestructura principal no haya sido monitoreada, y la única alerta vino de un usuario preocupado días después.

En su official statement, Sky Mavis ha dicho que "En el futuro, el umbral será de ocho de nueve" validadores para aprobar transacciones.

Sin embargo, esto se promulgó casi 11 horas antes de que se anunciara oficialmente el incidente.

No hay necesidad de apresurarse cuando ya han pasado casi una semana…

Aunque la mayoría está de acuerdo en su importancia, la descentralización a veces se ve como una distracción académica o moral de la adrenalina del comercio y la búsqueda de ganancias.

Este caso muestra la verdadera importancia de la descentralización.

¿Por qué no se había ampliado aún más el conjunto de validadores de Ronin?

Como vimos con el caso Wormhole, cuando los VCs salen perdiendo, un rescate no es un problema.

Axie es considerado el líder del mercado GameFi, ¿presenta este incidente el mismo nivel de riesgo para todo un ecosistema?

Si es así, ¿quién va a entrar al rescate con $624M?

REKT sirve como plataforma pública para autores anónimos, nos deslindamos de la responsabilidad por las opiniones y contenidos alojados en REKT.

dona (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

aviso legal:

REKT no es responsable ni culpable de ninguna manera por cualquier Contenido publicado en nuestro Sitio Web o en conexión con nuestros Servicios, sin importar si fueron publicados o causados por Autores ANÓN de nuestro Sitio Web, o por REKT. Aunque determinamos reglas para la conducta y publicaciones de los Autores ANÓN, no controlamos y no somos responsables por cualquier contenido ofensivo, inapropiado, obsceno, ilegal o de cualquier forma objetable, que se pudiera encontrar en nuestro Sitio Web o Servicios. REKT no es responsable por la conducta, en línea o fuera de línea, de cualquier usuario de nuestro Sitio Web o Servicios.