En un shock a absolutamente nadie prestando atención a la llamado espacio Web3la seguridad promocionada de las soluciones impulsadas por blockchain podría no ser tan buena como parece.
La última víctima proviene de Ronin, que detalló que 173.600 en Ethereum (ETH) y 25,5 millones en monedas de USD habían salido de sus garras en un par de transacciones que ocurrieron hace una semana.
Ronin Network dijo que solo se enteró cuando un usuario el martes quiso retirar 5,000 ETH pero no pudo.
«Los depósitos de ETH y USDC en Ronin se han vaciado del contrato puente. Estamos trabajando con los funcionarios encargados de hacer cumplir la ley, los criptógrafos forenses y nuestros inversores para asegurarnos de que no haya pérdida de fondos de los usuarios. Esta es nuestra principal prioridad en este momento», dijo el dijo la red.
Ronin fue anunciado a mediados de 2020 por el juego de juego Axie Infinity creado por el fabricante vietnamita de juegos de cadena de bloques Sky Mavis.
En ese momento, el estudio promocionó a Ronin como capaz de superar la congestión de la red Ethereum.
«Para ayudar a proteger a Ronin, hemos reclutado un elenco estelar de socios del espacio tradicional de juegos, criptografía y tokens no fungibles para que sirvan como validadores de nuestra red», dijo en ese momento.
Para que ocurriera el ataque, el atacante obtuvo el control de los cuatro validadores operados por Sky Mavis y uno operado por Axie DAO.
«El atacante encontró una puerta trasera a través de nuestro nodo RPC sin gas, del cual abusaron para obtener la firma del validador Axie DAO», explicó Ronin Network.
«Esto se remonta a noviembre de 2021 cuando Sky Mavis solicitó ayuda de Axie DAO para distribuir transacciones gratuitas debido a una inmensa carga de usuarios. Axie DAO incluyó a Sky Mavis en la lista de permitidos para firmar varias transacciones en su nombre. Esto se suspendió en diciembre de 2021, pero el el acceso a la lista de permitidos no fue revocado».
En respuesta, el puente Ronin y el intercambio Katana Dex se detuvieron, el número de validadores aumentó a ocho y se contactó a los equipos de seguridad de los principales intercambios de cifrado.
Afortunadamente para aquellos que buscan rastrear los fondos, el uso de blockchain significa que las transacciones se pueden rastrear, en el caso de los atacantes, parece estar renunciando al paso de lavar los fondos a través de un vaso de monedas y transferirlos directamente al intercambio FTX.
Flora Li, del instituto de investigación de intercambio Huobi, dijo que el ataque fue el resultado de tratar de equilibrar la experiencia del usuario y la seguridad.
«Axie Infinity explotó en popularidad y vio una rápida afluencia de usuarios en la cadena de bloques de Ronin. Tomaron atajos para aliviar los cuellos de botella de la red, reduciendo la cantidad de nodos que necesitaban ser validados para transacciones a solo cinco de nueve nodos, lo que facilita hackers para explotar», dijo Li.
«Si bien Sky Mavis se comprometió a aumentar la cantidad de nodos requeridos a ocho, aún no resuelve el problema fundamental de cómo las cadenas de bloques de prueba de participación pueden mantener las transacciones rápidas, fáciles de usar y energéticamente eficientes sin comprometer la seguridad. «
A principios de este año, Crypto.com dijo que 483 de sus usuarios fueron atacados en un ataque en el que se retiraron más de $31 millones en monedas.
«En la mayoría de los casos, evitamos el retiro no autorizado y, en todos los demás casos, se reembolsó por completo a los clientes», dijo la compañía en ese momento.
«Los retiros no autorizados totalizaron 4.836,26 ETH, 443,93 BTC y aproximadamente 66.200 dólares estadounidenses en otras criptomonedas».
El año pasado, Poly Network tuvo $ 600 millones en criptomonedas antes de que el atacante comenzara a devolver los activos robados.
Actualizado a las 3:50 p. m. AEDT, 30 de marzo de 2022: Comentarios adicionales de Huobi.
