Axie Infinity là thành quả của Sky Mavis, studio game do CEO Nguyễn Thành Trung cùng 4 người khác đồng sáng lập. Cuối năm 2021, công ty này được định giá 3 tỷ USD. Axie Infinity cũng là game blockchain nổi tiếng nhất toàn cầu. Có giai đoạn, đồng AXS của game này đạt vốn hóa thị trường hơn 8 tỷ USD.
Trang CoinDesk gọi đây vụ hack lớn nhất trong lịch sử DeFi, với số tiền nhiều hơn cả vụ tấn công mạng Poly Network vào tháng 8 năm ngoái, khi hacker đánh cắp lượng tiền số tương đương 611 triệu USD trước khi trả lại toàn bộ.
Sau khi sự cố được công bố, giá một số tiền điện tử liên quan đến Axie Infinity cũng giảm mạnh, trong đó đồng AXS giảm 8% xuống còn 65 USD/AXS, đồng RON giảm 27%, đồng SLP giảm 7%.
Hacker lợi dụng lỗ hổng nào để xâm nhập Ronin?
Ronin Network là một blockchain phụ, được Sky Mavis xây dựng nhằm phục vụ cho sự phát triển của trò chơi Axie Infinity. Blockchain này giúp khắc phục một số vấn đề của blockchain Ethereum như phí cao và dễ bị nghẽn mạng.
Đêm 29/3, trong một thông báo trên Twitter, Ronin Network cho biết hệ thống có lỗ hổng và bị tấn công. Hacker đã thực hiện hai giao dịch chuyển tiền, tổng cộng 173.600 Ethereum cùng 25,5 triệu USDC. Với giá trị mỗi ETH là 3,4 nghìn USD, số tiền điện tử này tương đương 625 triệu USD.
Các dữ liệu được ghi lại cho thấy vụ tấn công xảy ra từ ngày 23/3. Đội ngũ phát triển mới phát hiện sau khi có người báo họ không thể rút được 5 nghìn ETH từ hệ thống.
Thủ đoạn mà hacker đã sử dụng để đột nhập vào Ronin Network là dùng các khóa bảo vệ riêng tư đã bị hack để xâm phạm các node xác thực giao dịch trong mạng lưới blockchain. Điều đó cho phép hacker âm thầm rút một lượng lớn ETH và USDC ra khỏi mạng lưới mà không ai biết.
Đó là một phần lý do vì sao gần một tuần sau khi vụ việc này xảy ra, sự việc mới bị phát hiện khi một người dùng nào đó cố gắng rút 5.000 ETH thông qua cầu nối Ronin.
Tuy nhiên, Sky Mavis cho biết các token NFT Axie mà người chơi phải mua để truy cập được vào Axie Infinity lại không bị ảnh hưởng bởi cuộc tấn công này. Bên cạnh đó, các tiền mã hóa SLP và AXS được sử dụng cho việc chiến đấu và chăn nuôi các nhân vật hoạt hình trong game cũng không bị ảnh hưởng. Nhưng việc đóng băng giao dịch cũng làm người chơi không thể nạp và rút tiền ra khỏi trò chơi này.
Hiện Sky Mavis đang làm việc với các cơ quan pháp luật nhằm thu hồi 173.600 ETH (hiện tương đương 600 triệu USD) và 25,5 triệu USDC (stablecoin ngang giá 1 USD). Hệ thống của Ronin đã tạm ngừng hoạt động.
Lỗ hổng bảo mật sẽ được xử lý ra sao?
Được biết, đơn vị vận hành Ronin đang tích cực xử lý để đề phòng những cuộc tấn công khác có thể xảy đến trong tương lai. Trước mắt, Ronin sẽ tăng ngưỡng xác thực từ 5 lên 8.
Ronin cho biết đang liên hệ với các nhóm bảo mật tại những sàn giao dịch lớn. Bên cạnh đó, đơn vị này cũng đang làm việc với Chainalysis để theo dõi các khoản tiền bị đánh cắp.
Sau vụ việc trên, nghi vấn về bảo mật của Ronin sẽ làm đau đầu các nhà sáng lập. Cũng như nhiều blockchain dạng proof-of-stake khác, Ronin sử dụng các node xác thực, vốn ít tiêu tốn năng lượng hơn các blockchain dạng proof-of-concept như Bitcoin và Ethereum.
Các node này sẽ đảm nhiệm việc xem xét giao dịch để xác thực các dữ kiện ra vào mạng lưới và chữ ký ủy quyền, cũng như từ chối các giao dịch không phù hợp.
Việc sử dụng ít node hơn, giúp blockchain này chạy nhanh hơn và hiệu quả năng lượng hơn – nhưng vụ tấn công này cho thấy nó cũng tiềm ẩn rủi ro bảo mật nếu một lượng đáng kể các node bị xâm phạm để rút tiền trái phép ra khỏi hệ thống mà không ai biết.
Nguyên nhân sâu xa của cuộc tấn công này có thể do Sky Mavis đã tạo ra một lối tắt để giảm nhẹ "tải công việc từ lượng người dùng khổng lồ" trên mạng lưới của mình vào tháng 11/2021. Hệ thống đã bị ngừng hoạt động vào tháng 12/2021, nhưng các hoạt động được cấp phép trên đó lại không bị thu hồi.
Lợi dụng lỗ hổng, hacker đã xâm phạm 5 trong số 9 node xác thực, từ đó có thể ghi đè bất kỳ giao dịch nào và rút bất kỳ khoản tiền nào chúng muốn.