Svetom kryptomien hýbe aféra okradnutého Ronina. Nie, toto nie je príbeh strateného samuraja, ktorý svoje úspory vložil do kryptomien a následne o ne prišiel. Do popredia záujmu sa dostal inokedy celkom nezaujímavý etherový sidechain Ronin – bol cieľom hacku, ktorý páchateľom vyniesol 622 miliónov dolárov.
Ronin je paralelný blockchain naviazaný na hlavnú sieť, aby ju odľahčil pri transakčnej záťaži. Patrí firme Sky Mavis, ktorá stojí za najznámejšou NFT hrou Axie Infinity. Okrem objemu ukradnutých kryptomien je na hacku zaujímavé to, že si ho prevádzkovatelia siete päť dní nevšimli.
Na prevod kryptomien medzi sieťou Roninu a etherovým blockchainom slúži kus softvérového kódu – šikovného kontraktu –, ktorému sa hovorí bridge, čiže most. V kontrakte sú kryptomeny uzamknuté do okamihu, keď vo forme tokenov putujú po sieti Roninu.
Vzhľadom na popularitu Axie Infinity sa časom stal Ronin lákadlom pre hackerov – takzvaným „honey potom“ s uzamknutými kryptomenami za stovky miliónov.
Neznámy útočník odhalil slabinu, ktorá mu umožnila zmocniť sa súkromných kľúčov validátorov siete Roninu. Vďaka nim si odomkol prístup k zhruba 173 600 ETH a 25,5 miliónom dolárov v stablecoine USDC. Prostriedky následne v dvoch separátnych transakciách previedol preč.
Hodnota ukradnutých kryptomien bola v čase odhalenia asi 622 miliónov dolárov. Tým boli dosiahnuté hneď dva rekordy: ide pravdepodobne o najväčší hack v histórii decentralizovaných financií a zároveň o jednu z piatich najväčších kryptomenových krádeží vôbec.
Prišli na to náhodou
K útoku došlo 23. marca a bol odhalený až o päť dní neskôr, a to úplnou náhodou. K objavu došlo tak, že nemenovaný užívateľ siete nahlásil neschopnosť vybrať päť tisíc éterov, ktoré mal mať v sieti uzamknuté.
Z blogového príspevku vývojárov sa dozvedáme, že počas útoku došlo k prevzatiu kontroly nad piatimi z celkového počtu deviatich validátorov, respektíve sa útočník zmocnil ich privátnych kľúčov.
Validátori bežne overujú transakcie: ide o funkciu, ktorá je analogická s ťažiarmi v „proof of work“ sieťach, ale tu na nich spočívala ešte iná úloha – posväcovať vklady a výbery kryptomien v sieti.
A sieti stačil podpis relatívne malého počtu validátorov, pretože v počiatkoch jej fungovania niektoré „nody“ nestíhali a zasekávali sa v stave synchronizácie.
Svoju úlohu zohralo, že v novembri minulého roka získal node Axie DAO dočasné privilégium pre potvrdzovanie transakcií bez nutnosti platiť transakčný poplatok. Stalo sa tak v snahe odľahčiť enormný nápor používateľov.
Hoci bola dohoda neskôr zrušená, samotný prístup z nejakého dôvodu nodu Axie DAO zostal – a práve to si všimol a na svoje obohatenie využil neznámy útočník.
Ďalšie kroky
Čo sa bude diať ďalej? Vývojári po odhalení útoku zvýšili počet nutných súhlasov validátorov na osem z deviatich. Sieť bola taktiež premigrovaná na novú infraštruktúru a Ronin Bridge bol dočasne pozastavený pre prípad, že by niekto objavil ďalší spôsob útoku.
Burza Binance potom preventívne pozastavila vlastný bridge (most) slúžiaci na prepojenie s Roninom, aby sa čo najviac poistila, že nebudú odsaté ďalšie prostriedky.
Ostatné bolo ponechané expertom na blockchainovú forenznú analýzu. „Na monitorovaní ukradnutých prostriedkov spolupracujeme s firmou Chainalysis,“ dodávajú vývojári.
Po útoku zatiaľ zostáva viac otázok než odpovedí. Ako je napríklad možné, že na transparentnom blockchaine neboli dve extrémne podozrivé transakcie odhalené skôr? A čo útočník zamýšľa s prostriedkami z hacku, z ktorých je väčšina ľahko sledovateľná?
Je isté, že útok na Ronina tromfol aj minuloročné hacknutie cross-chainu Poly Network. Vtedy hackerský útok pripravil používateľa o kryptomeny za viac ako 611 miliónov dolárov, ale útočník neskôr väčšinu prostriedkov vrátil.
Článok vyšiel na českom Forbese. Autorom je Karel Wolf.
