Ne, tohle není příběh zbloudilého samuraje bez pána, který své úspory uložil do kryptoměn a následně o ně přišel. Do popředí zájmu se v kryptosvětě dostal jindy celkem nezajímavý etherový sidechain Ronin – byl cílem hacku, který pachatelům vynesl 622 milionů dolarů.
Ronin je paralelní blockchain navázaný na hlavní síť, aby jí odlehčil v transakční zátěži. Patří firmě Sky Mavis, která stojí za nejznámější NFT hrou Axie Infinity. Vedle objemu ukradených kryptoměn je na hacku zajímavé, že si jej provozovatelé sítě pět dní nevšimli.
K převodu kryptoměn mezi sítí Roninu a etherovým blockchainem slouží kus softwarového kódu – chytrého kontraktu –, kterému se říká bridge čili most. V kontraktu jsou kryptoměny uzamčeny v okamžiku, kdy ve formě tokenů putují po síti Roninu. Vzhledem k popularitě Axie Infinity se časem stal Ronin lákadlem pro hackery – takzvaným „honey potem“ s uzamčenými kryptoměnami za stovky milionů.
Zatím neznámý útočník odhalil slabinu umožňující mu zmocnit se privátních klíčů validátorů sítě Roninu. Díky nim si odemkl přístup ke zhruba 173 600 etherům a 25,5 milionu dolarů ve stablecoinu USDC. Prostředky následně ve dvou separátních transakcích převedl pryč.
Hodnota ukradených kryptoměn byla v době odhalení asi 622 milionů dolarů. Tím byly dosaženy hned dva rekordy: jde pravděpodobně o největší hack v historii decentralizovaných financí a zároveň o jednu z pěti největších kryptoměnových krádeží vůbec.
Útok byl odhalený teprve 28. března, a to náhodou. Došlo k němu přitom již 23. března. K objevu došlo tak, že nejmenovaný uživatel sítě nahlásil neschopnost vybrat pět tisíc etherů, které měl mít v síti uzamčeny.
Z blogového příspěvku vývojářů se dozvídáme, že během útoku došlo k převzetí kontroly nad pěti z celkového počtu devíti validátorů, respektive se útočník zmocnil jejich privátních klíčů. Validátoři běžně ověřují transakce: jde o funkci, která je analogická s těžaři v proof of work sítích, ale zde na nich spočívala ještě jiná úloha – posvěcovat vklady a výběry kryptoměn v síti.
Vývojáři uvedli, že útočník získal kontrolu nad čtyřmi nody patřícími přímo Sky Mavis a pátého se zmocnil prostřednictvím třetí strany.
Ronin sestával z pouhých devíti validátorů a stačilo získat souhlas pěti nodů, abyste mohli sami potvrzovat vklady nebo vybírat neomezené množství kryptoměn.
Síti stačil podpis relativně malého počtu validátorů, protože v počátcích jejího fungování některé nody nestíhaly a zasekávaly se ve stavu synchronizace.
Svou roli sehrálo, že v listopadu loňského roku získal node Axie DAO dočasné privilegium pro potvrzování transakcí bez nutnosti platit transakční poplatek. Stalo se tak ve snaze odlehčit enormnímu náporu uživatelů.
Ačkoli byla dohoda později zrušena, samotný přístup z nějakého důvodu nodu zůstal – a právě toho si všiml a ke svému obohacení využil neznámý útočník.
Co se bude dít dál? Vývojáři po odhalení útoku zvýšili počet nutných souhlasů validátorů na osm z devíti. Síť byla také přemigrována na novou infrastrukturu a Ronin Bridge byl dočasně pozastaven pro případ, že by někdo objevil další způsob útoku. Burza Binance pak preventivně pozastavila vlastní bridge sloužící k propojení s Roninem, aby se co nejvíc pojistila, že nebudou odsáty další prostředky.
Ostatní bylo ponecháno na expertech na blockchainovou forenzní analýzu. „Na monitorování ukradených prostředků spolupracujeme s firmou Chainalysis,“ dodávají vývojáři.
Po útoku zatím zůstává víc otázek než odpovědí. Jak je například možné, že na transparentním blockchainu nebyly dvě extrémně podezřelé transakce odhaleny dříve? A co útočník zamýšlí s prostředky z hacku, z nichž je většina snadno sledovatelná?
Je jisté, že útok na Ronin trumfnul i loňské hacknutí cross-chainu Poly Network. Tehdy hackerský útok připravil uživatele o kryptoměny za více než 611 milionů dolarů, ale útočník později většinu prostředků vrátil.
