Axie InfinityのRonin Networkが6億1,500万ドル相当をハッキングされる

公開日 : 2022年03月31日 | [更新日] 2024年04月01日

Sky Mavisが開発した人気のあるNFTゲーム「Axie Infinity」をサポートするために作られたEthereumベースのサイドチェーンの「Ronin Network」が、6億1500万ドル相当のハッキングを受けました。

Ronin NetworkはTwitterで「Ronin bridgeは17万3600eth（現在5億8800万ドル強の価値）と2550万USDCをハッキングされ、Ronin bridgeとKatana Dexは停止されました」と明らかにするとともに、

「我々は、法執行機関、フォレンジック暗号解読者、および投資家と協力して、すべての資金を回収または払い戻しできるように努めています。Roninの「AXS」「RON」「SLP」の全ては今現在は安全です」と付け加えました。

There has been a security breach on the Ronin Network.https://t.co/ktAp9w5qpP
— Ronin (@Ronin_Network) March 29, 2022

ハッキングの手口

また、Ronin Networkのコミュニティアラートによると「RoninチェーンとEthereumメインネット間でユーザーが資産を転送できるブロックチェーン相互運用プロトコルであるRoninブリッジが悪用され、17万3600Ethereumと2550万ドル相当のUSDCがハッキングされた」とのことです。

ブリッジから5000ETHを引き出すことができないユーザーからの報告を受けたことによりSky MavisのRoninバリデータノードとAxie DAOバリデータノードが侵害されたことが判明しました。ハッカーは偽の引き出しを偽造するために、ハッキングした秘密鍵を使用したということです。

さらにSky Mavisは「Roninチェーンは現在9つのバリデータノードで構成されており、そのうち5つのノードは入出金を行うために署名の必要がある」と説明しています。ハッカーは、4つのノードを制御することに成功し、また5番目のノードの代わりにAxie DAOによって運営されている追加のサードパーティバリデータを使用しました。

「バリデータ鍵方式は、今回のような攻撃を制限するように分散化されて設定されています。しかしハッカーは私たちのガスフリーのRPCノードからバックドアを見つけ、Axie DAOバリデータの署名を取得したようだ」と開発者は説明します。

注目すべきは、Sky Mavisが昨年11月、膨大なユーザー負荷のために無料取引を行うことをAxie DAOに協力を要請しました。この合意の一部として、Axie DAOはSky Mavisをトランザクションに署名できる許可リストに登録したのです。

しかし2021年12月に契約を打ち切ったものの、許可証のアクセスは取り消されていなかったと発表しています。

Sky Mavisの対応

攻撃を受けて、Roninチェーンの開発者はバリデーターのしきい値を5から8に引き上げました。Sky Mavisは「現在主要取引所のセキュリティチームと連絡を取っており、今後数日のうちに全員に連絡を取る予定です。さらに、サイドチェーンのノードは、古いインフラから移行されています」と述べています。

「これ以上の攻撃がないことを確認するため、ローニンブリッジを一時的に停止しています。BinanceもRoninとの間のブリッジを無効にし、慎重を期しています。資金が流出しないことが確認されれば、ブリッジは後日開放される予定です」さらに「我々はChainalysisと協力して盗まれた資金を監視しています」と述べています。