Hogyan tudott egyetlen hacker több mint 600 millió dollárt érő kriptovalutát ellopni?

Az Axie Infinity nevű játék fejlesztője, a Sky Mavis a mai nap folyamán bejelentette, hogy a Ronin kriptopénz sidechainjét feltörték, melynek következtében 594 millió dollár értékű ethereumot, illetve 25,5 millió dollárnyi USDC stablecoint tulajdonítottak el a világ egyik legnagyobb kriptolopása során.

Ahhoz, hogy megértsük, pontosan hogyan történhetett meg ez az óriási mértékű rablás, meg kell értenünk az Axie Infinity működését, amelyet lényegében a blokkláncjátékok egyik korai sikertörténeteként emlegetnek. Soron kívül Budapest felkészült a pénteki havazásra: több mint 50 gép bevetésre kész

Az ilyesfajta játékok decentralizált protokollokat használnak egyes játékbeli elemek vagy tárgyak tulajdonjogának nyomon követésére, és általában lehetővé teszik a felhasználók számára, hogy bizonyos fokú ellenőrzést gyakoroljanak a kizárólag virtuális térben létező objektumok viszonteladása fölött.

Az Axie Infinity-ben a játékosoknak legalább három darab, NFT-ként alkalmazható Axie-t kell vásárolni, vagy kölcsönkérni a tulajdonosoktól a nyílt piacon. Ezekkel a virtuális érmékkel a játékosok Smooth Love Potionokat (SLP) szerezhetnek, amelyek segítségével feltölthetik Axie-egyenlegüket, vagy eladhatják őket más játékosoknak árucikkként, így létrehozva egy újabb kört.

Annyira sikeresnek bizonyult a game, hogy néhány Fülöp-szigeteki júzer képes volt főállásban játszani, és az Axie-k kereskedéséből és cseréjéből megélni, a korai felhajtás azonban hozzájárult ahhoz, hogy még több olyan játékos került be a rendszerbe, akik szintén azt remélték, hogy mindennapi munkájukat intenzív gamingre válthatják, ez pedig elárasztotta a piacot SLP-kkel.

Mivel kevés új vásárló érkezett, hogy megvegye az összes SLP-t, a CoinGecko szerint a virtuális érmék, más néven potion-ök értéke dollárban kifejezve november eleje óta nagyjából 80 százalékkal esett vissza, a tavaly májusi csúcshoz képest pedig 95 százalékkal csökkent, ezzel együtt pedig a játékosok száma is megcsappant.

Bár az Axie Infinity eredetileg közvetlenül az ethereum blokkláncon futott, a magas tranzakciós költségek és a lassú pénzátutalási sebesség ezen a hálózaton a játék növekedésével gyakorlatilag tarthatatlanná vált. Hogy megkerüljék ezeket az extra díjakat, a Sky Mavis 2020-ban sidechaint kezdett használni – egy párhuzamos privát blokkláncot, amely az ethereum mellett fut, és amelyhez nem számítanak fel plusz tranzakciós költségeket.

A Sky Mavis kezdetben a Loom Networks-szel lépett partnerségre a sidechain-funkcióhoz. Tavaly májusban azonban a vállalat felbontotta ezt a szerződést, és bevezette saját oldalláncát, a Ronint.

Az elosztott proof-of-work ethereum blokklánccal szemben a Ronin oldallánc egy sokkal központosítottabb proof-of-authority rendszerrel működik. Az olyan központosított tőzsdék, mint a Binance, és az olyan decentralizált tőzsdék, mint a Katana, lehetővé teszik a felhasználók számára, hogy a játékban lévő eszközeiket cserélgessék és áthelyezzék a Ronin és a fő ethereum blokkláncok között, viszont mivel ezek az átutalások nagyobb léptékben, és gyakoriság szempontjából ritkábban történhetnek, a tranzakciós költségek sokkal alacsonyabbak.

A Sky Mavis közleményéből kiderült, az ismertlen támadó képes volt betörni betörni a rendszerekbe, és teljes hozzáférést szerzett négy valdiátor-csomóponthoz, amelyek az említett tranzakciókat és blokkláncokat szabályozzák, és amiket a vállalat folyamatosan ellenőrzés alatt tart.

A hacker meg tudta kaparintani az irányításhoz szükséges digitális kulcsokat, és egy másik validátor felett is kontrollhoz jutott, amelynek működéséről a decentralizált Axie DAO gondoskodik. Ezzel az ötödik validátor-csomóponttal a támadó bármelyik tranzakcióhoz gond nélkül hozzáfért, és aláírást biztosított magának az átutalásokhoz – így jött össze a több mint 600 millió dolláros lopás.

Habár az attak még múlt héten, egészen pontosan március 23-án, szerdán történt, a Sky Mavis csak március 29-én, kedden kora reggel szerzett tudomást a problémáról, amikor egy felhasználó megpróbált 5 000 ethereumot átküldeni a hálozatról, ám a kriptovaluta folyósítása egyszer sem sikerült neki.

Az Axie Infinity törvényes júzerei még most sem tudnak pénzt kivenni, illetve befizetni a Ronin-hálózatba, sem a Katana, sem a Binance platformokon keresztül. A vállalat jelentése szerint egy későbbi időpontban nyitják csak meg az utat a tranzakciók előtt, amint megbizonyosodtak arról, hogy a kriptopénzeket nem lehet illegális úton elszipkázni.