2022 年 03 月 29 日，Axie Infinity 侧链 Ronin Network 发布社区预警，Ronin Network 出现安全漏洞，Ronin Bridge 共 17.36 万枚 ETH 和 2550 万枚 USDC 被盗，损失超 6.1 亿美元。慢雾安全团队第一时间介入分析，并将分析结果分享如下。
相关信息
Ronin 是以太坊的一个侧链，专门为链游龙头 Axie Infinity 而创建，它自称是将朝着「NFT 游戏最常用的以太坊侧链」方向发展。据了解，Axie Infinity 的团队 Sky Mavis 想要一个可靠、快速且廉价的网络，从而为游戏的发展提供保障。他们需要一个以游戏为先的扩容方案，它不仅要能经得起时间的考验，还得满足游戏快速发展所带来的大量需求。于是，Ronin 链便应运而生了。
数据：Celsius资金损失前十名的用户累计损失超2.2亿美元:金色财经报道，加密借贷平台Celsius Network的用户损失查询网站显示，用户Jacob Benjamin Fite损失逾4000万美元，排名第一，前十名个人的损失均超过1200万美元，总计损失超2.2亿美元。[2022/10/11 10:30:44]
黑客地址：
0x098B716B8Aaf21512996dC57EB0615e2383E2f96
攻击细节
据官方发布的信息，攻击者使用被黑的私钥来伪造提款，仅通过两次交易就从 Ronin bridge 中抽走了资金。值得注意的是，黑客事件早在 3 月 23 日就发生了，但官方据称是在用户报告无法从 bridge 中提取 5k ETH 后才发现这次攻击。本次事件的损失甚至高于去年的 PolyNetwork 被黑事件，后者也窃取了超过 6 亿美元。
2021年区块链生态被公开的区块链安全事件共 231起 全球损失超 98 亿美元:12月28日消息，据慢雾官方消息，据慢雾科技区块链被黑档案数据不完全统计，2021年区块链生态被公开的区块链安全事件共231起，损失超98亿美元。其中各生态DApp、DeFi等安全事件170起，交易所安全事件15起，公链安全事件8起，钱包安全事件3起，其他类型安全事件35起。[2021/12/28 8:10:06]
事情背景可追溯到去年 11 月，当时 Sky Mavis 请求 Axie DAO 帮助分发免费交易。由于用户负载巨大，Axie DAO 将 Sky Mavis 列入白名单，允许 Sky Mavis 代表其签署各种交易，该过程于 12 月停止。但是，对白名单的访问权限并未被撤销，这就导致一旦攻击者获得了 Sky Mavis 系统的访问权限，就能够通过 gas-free RPC 从 Axie DAO 验证器进行签名。Sky Mavis 的 Ronin 链目前由九个验证节点组成，其中至少需要五个签名来识别存款或取款事件。攻击者通过 gas-free RPC 节点发现了一个后门，最终攻击者设法控制了五个私钥，其中包括 Sky Mavis 的四个 Ronin 验证器和一个由 Axie DAO 运行的第三方验证器。
加密货币投资者在一起网络中损失超过30万美元:在一个加密货币局中，一个70岁名叫约瑟夫的受害者损失了30多万美元。该局伪装成一种赚钱的活动，投资越多，赚的就越多。尽管如此，约瑟夫确信他发现了一个金矿。经营该业务的子告诉他，只要提供他总体持有量的大约百分之十，就可以在他们的投资平台上开始投资。（livebitcoinnews）[2021/8/2 1:28:37]
MistTrack
在事件发生后，慢雾第一时间追踪分析并于北京时间 3 月 30 日凌晨 1:09 发声。
据慢雾 MistTrack 反追踪系统分析，黑客在 3 月 23 日就已获利，并将获利的 2550 万枚 USDC 转出，接着兑换为 ETH。
Messari：自2019年，DeFi领域因黑客攻击损失超2.84亿美元资产:4月29日，据Messari报告指出，自2019年以来，DeFi领域因黑客攻击等原因损失了超过2.84亿美元资产（数据截止至2月）。而去中心化的保险行业只覆盖了DeFi中TVL的一小部分。[2021/4/29 21:09:26]
而在 3 月 28 日 2:30:38，黑客才开始转移资金。
据慢雾 MistTrack 分析，黑客首先将 6250 ETH 分散转移，并将 1220 ETH 转移到 FTX、1 ETH 转到 Crypto.com、3750 ETH 转到 Huobi。
声音 | Beosin（成都链安）预警：某EOS竞猜类游戏遭受攻击 损失超1200枚EOS:根据成都链安区块链安全态势感知系统Beosin-Eagle Eye检测发现，今日上午 8:53:15开始，黑客yunmen****对EOS竞猜类游戏th****sgames发起攻击。截止到现在，该黑客已经获利超过1200枚EOS。Beosin建议游戏项目方应该加强项目运维工作，在收到安全公司的安全提醒之后第一时间排查项目安全性，才能及时止损，同时也呼吁项目开发者应该重视游戏逻辑严谨性及代码安全性。Beosin提醒类似项目方全方面做好合约安全审计并加强风控策略，必要时可联系第三方专业审计团队，在上链前进行完善的代码安全审计，防患于未然。[2019/4/3]
值得注意的是，黑客发起攻击资金来源是从 Binance 提币的 1.0569 ETH。
目前，Huobi、Binance 创始人均发表了将全力支持 Axie Infinity 的声明 ，FTX 的 CEO SBF 也在一封电子邮件中表示，将协助取证。
截止目前，仍有近 18 万枚 ETH 停留在黑客地址。
目前黑客只将资金转入了中心化平台，很多人都在讨论黑客似乎只会盗币，却不会洗币。尽管看起来是这样，但这也是一种常见的简单粗暴的洗币手法，使用假 KYC、代理 IP、假设备信息等等。从慢雾目前获取到的特殊情报来看，黑客并不“傻”，还挺狡猾，但追回还是有希望的，时间上需要多久就不确定了。当然，这也要看执法单位的决心如何了。
总结
本次攻击事件主要原因在于 Sky Mavis 系统被入侵，以及 Axie DAO 白名单权限维护不当。同时我们不妨大胆推测下：是不是 Sky Mavis 系统里持有 4 把验证器的私钥？攻击者通过入侵 Sky Mavis 系统获得四个验证节点权限，然后对恶意提款交易进行签名，再利用? Axie DAO 对 Sky Mavis 开放的白名单权限，攻击者通过 gas-free RPC 向 Axie DAO 验证器推送恶意提款交易获得第五个验证节点对恶意提款交易的签名，进而通过? 5/9 签名验证。
最后，在此引用安全鹭（Safeheron）的建议：
1、私钥最好通过安全多方计算（MPC）消除单点风险；
2、私钥分片分散到多台硬件隔离的芯片里保护；
3、大资金操作应有更多的策略审批保护，保证资金异动第一时间由主要负责人获悉并确认；
4、被盗实际发生时间是 3 月 23 日，项目方应加强服务和资金监控。
参考链接：
Ronin Network 官方分析：
https://roninblockchain.substack.com/p/community-alert-ronin-validators
近期,NFT市场持续活跃,每天都会有不同的新项目上线,对于NFT爱好者们,似乎更看重短期的项目涨幅,mint完之后,有个几倍涨幅就很舒服了,如果迎来几十倍的涨幅那就发财了.
1900/1/1 0:00:00本文原文是由Impossible Finance执笔的P2E公会相关研究报告,IOSG授权翻译并节选部分发布insight,报告中文全文将尽快发出.
1900/1/1 0:00:00恐龙时代是一款运行在BSC链上的一款NFTS游戏,由Macdow game技术团队结合恐龙的生活习性,繁衍,虚构等开发的一款具有乐趣性的游戏.
1900/1/1 0:00:00FRAX 是新的 UST 吗？编译标题：关于 FRAX 算法稳定币你需要知道的 5 件事? ? ? ? ? ?? Frax 是一种分数算法稳定币。Frax 的稳定币,部分供应由美元等法定抵押资产支持,其余供应通过算法调整.
1900/1/1 0:00:00NFT 市场的火热既在意料之外也在情理之中,大盘市场的低迷导致大部分其它赛道项目代币也陷入低谷之中,而这一次 NFT 市场随着 Bayc 发地这一事件,再一次陷入爆发时期,与此同时具有实际用途的 NFT 种类.
1900/1/1 0:00:00lRSS3是一个结合区块链技术,衍生于RSS协议的下一代数据分发协议,具有灵活、高效、可扩展和去中心化等特点。lRSS协议是早期开发者为了方便追踪网站更新和捕捉内容,而开发的开源、简洁、免费的协议.
1900/1/1 0:00:00
宇宙链