Mạng Ronin của Axie Infinity bị tấn công, hơn 600 triệu USD "không cánh mà bay"

Số tiền điện tử trị giá gần 625 triệu USD "không cánh mà bay" khỏi Ronin, Axie Infinity, tựa game trực tuyến dựa trên nên tảng blockchain và được Sky Mavis phát triển đã báo cáo bị tấn công và đóng băng các giao dịch trên Ronin Network, nền tảng cho phép gửi và rút tiền từ blockchain của công ty.

Sky Mavis cho biết hậu quả của vụ việc là 173.600 Ethereum và 25,5 triệu USDC (là một stablecoin được bảo chứng bởi đồng Đô la Mỹ theo tỷ lệ 1:1) đã bị rút khỏi Ronin thông qua 2 giao dịch vào ngày 23 tháng 3. Cuộc tấn công tập trung vào cầu nối với blockchain Ronin của Sky Mavis, trung gian giữa Axie Infinity và các chuỗi khối tiền điện tử khác như Ethereum. Người dùng có thể gửi Ethereum hoặc USDC cho Ronin, sau đó mua các vật phẩm NFT hoặc tiền tệ trong game hoặc họ có thể bán tài sản trong game của mình và rút tiền.

Theo Sky Mavis, hacker đã sử dụng các khóa bảo mật cá nhân tấn công để xâm nhập từ blockchain Ronin. Điều đó cho phép hacker lặng lẽ rút một lượng lớn Ethereum và USDC. Vụ việc được phát hiện sau khi nhận được báo cáo từ một người dùng về việc không thể rút 5.000 Ethereum từ hệ thống. 

Sky Mavis cho biết các mã thông báo NFT “axie” mà người chơi phải mua để truy cập Axie Infinity không bị xâm phạm, cũng như không có SLP và AXS tiền điện tử trong game sử dụng để chiến đấu và nhân giống các axolotls hoạt hình giống Pokemon. Nhưng việc đóng băng các khoản rút tiền và gửi tiền sẽ khiến nhiều người chơi mới bị khóa lại và số tiền của người chơi trên Ronin cũng đã "không cánh mà bay". Sky Mavis cho biết họ “đang làm việc với các quan chức chức năng, các nhà chuyên gia bảo mật và các nhà đầu tư của chúng tôi để đảm bảo không mất tiền của người dùng, đó là ưu tiên hàng đầu”.

Theo Sky Mavis, cuộc tấn công Ronin có thể xảy ra một phần do công ty đã sử dụng một lối tắt để giảm bớt “lượng người chơi lớn” trên mạng của mình vào tháng 11 năm ngoái - vài tháng sau khi trò chơi này trở nên phổ biến ở Philippines và các quốc gia khác, nơi người chơi dựa vào đó như như một công việc full time. Hệ thống đã ngừng hoạt động vào tháng 12, nhưng các quyền cho phép nó không bao giờ bị thu hồi. Ngoài việc xâm phạm bốn trong số các nút riêng của Sky Mavis, kẻ tấn công đã khai thác chúng để có quyền truy cập vào một nút do Axie DAO thuộc sở hữu cộng đồng quản lý. Sau khi xâm phạm năm trong số chín nút xác thực, kẻ tấn công có thể ghi đè một cách hiệu quả bất kỳ bảo mật giao dịch nào và rút bất kỳ khoản tiền nào chúng thích.

Hiện tại vụ tấn công Sky Mavis, công ty đứng sau Axie Infinity và Ronin, do kỹ sư Nguyễn Thành Trung đồng sáng lập là vụ hack lớn nhất cho đến nay của mạng “tài chính phi tập trung”, sau vụ trộm 322 triệu đô la từ giao thức cầu nối Wormhole vào tháng trước.