Dans le cadre de l’attaque, un pirate informatique inconnu a réussi à prendre le contrôle de quatre des nœuds de validation du Ronin Network
Ronin Network, une sidechain basée sur Ethereum créée par le développeur d’Axie Infinity, Sky Mavis, pour soutenir son jeu populaire basé sur des jetons non fongibles, a été exploitée par un hacker inconnu (ou un groupe) et a perdu aujourd’hui environ 615 millions de dollars en crypto.
» Le pont Ronin a été exploité pour 173 600 Ethereum et 25,5M USDC. Le pont Ronin et Katana Dex ont été arrêtés », a révélé Ronin Network sur Twitter aujourd’hui, ajoutant :
« Nous travaillons avec les forces de l’ordre, les cryptographes judiciaires et nos investisseurs pour nous assurer que tous les fonds sont récupérés ou remboursés. Tous les AXS, RON, et SLP sur Ronin sont en sécurité en ce moment. «
Il y a eu une faille de sécurité sur le réseau Ronin.https://t.co/ktAp9w5qpP
– Ronin (@Ronin_Network) March 29, 2022
Selon l’alerte de la communauté du réseau, son pont Ronin, un protocole d’interopérabilité de blockchain qui permet aux utilisateurs de transférer leurs actifs entre la chaîne Ronin et le réseau principal Ethereum, a été exploité pour 173 600 Ethereum (qui valent actuellement un peu plus de 588 millions de dollars) et 25,5 millions de dollars de pièces stables USDC.
« Plus tôt dans la journée, nous avons découvert que le 23 mars, les nœuds de validation Ronin et les nœuds de validation Axie DAO de Sky Mavis ont été compromis », a révélé Sky Mavis. « L’attaquant a utilisé des clés privées piratées afin de forger de faux retraits. Nous avons découvert l’attaque ce matin après qu’un utilisateur nous ait signalé qu’il ne pouvait pas retirer 5k ETH du pont. «
‘All your node are belong to us’
Les développeurs ont expliqué que la chaîne Ronin comprend actuellement neuf nœuds de validation, dont cinq doivent fournir leur signature pour que tout dépôt ou retrait puisse être effectué. Dans le cadre de leur attaque, les pirates ont réussi à prendre le contrôle de quatre de ces nœuds et ont utilisé un validateur tiers supplémentaire géré par Axie DAO pour remplacer le cinquième.
« Le système de clé de validateur est configuré pour être décentralisé afin de limiter un vecteur d’attaque, similaire à celui-ci, mais le pirate a trouvé une porte dérobée à travers notre nœud RPC sans gaz, dont il a abusé pour obtenir la signature du validateur Axie DAO », ont expliqué les développeurs.
Notamment, cela a été rendu possible parce que Sky Mavis a demandé l’aide de la DAO Axie en novembre dernier afin de « distribuer des transactions gratuites en raison d’une immense charge d’utilisateurs. » Dans le cadre de cet accord, la DAO Axie a « autorisé » Sky Mavis à signer des transactions en son nom.
Cependant, alors que l’accord a été interrompu en décembre 2021, l’accès à la liste d’autorisation n’a pas été révoqué, selon l’annonce.
Aller de l’avant
A la suite de l’attaque d’aujourd’hui, les développeurs de la chaîne Ronin ont augmenté le seuil de validation de cinq à huit et sont actuellement « en contact avec les équipes de sécurité des principales bourses et les contacteront toutes dans les prochains jours. » De plus, les nœuds de la chaîne latérale sont en train de migrer depuis l’ancienne infrastructure.
« Nous avons temporairement mis en pause le pont Ronin pour nous assurer qu’aucun autre vecteur d’attaque ne reste ouvert. Binance a également désactivé son pont vers/depuis Ronin par mesure de prudence. Le pont sera ouvert à une date ultérieure, une fois que nous serons certains qu’aucun fonds ne peut être drainé », a déclaré Sky Mavis. « Nous travaillons avec Chainalysis pour surveiller les fonds volés. «
Si l’on considère la valeur actuelle en dollars des actifs perdus, cela pourrait bien devenir le plus grand piratage de l’histoire de la finance décentralisée (DeFi). Alors que la bourse de crypto-monnaies Mt. Gox a perdu environ 850 000 bitcoins en 2014 – qui vaudraient aujourd’hui 40,2 milliards de dollars – ce chiffre était beaucoup plus faible à l’époque, puisque le bitcoin s’échangeait à une fraction de son prix actuel.
Jusqu’à présent, le protocole de pontage inter-chaînes Poly Network était considéré comme la plus grande victime d’un hack DeFi après avoir été exploité pour environ 604 millions de dollars en août dernier. Dans ce cas, cependant, le pirate a ensuite restitué la plupart des fonds volés.
