Die Sicherheit von kettenübergreifenden Brücken wird unter die Lupe genommen: Der umstrittene Axie Infinity_s Ronin $620 Millionen Hack

(TL;DR)

1. Am 29. März gab Ronin, die spezielle Nebenkette des größten Kettenspiels Axie Infinity, bekannt, dass sie angegriffen wurde, wobei ein Schaden von 616 Millionen Dollar entstand, was den größten Diebstahl in der Geschichte der DeFi darstellt.

2. Dem Hacker gelang es, vier Node-Validatoren und einen Drittanbieter-Validator der Ronin-Brücke zu kontrollieren, die Überprüfungsschwelle der Cross-Chain-Brücke zu erreichen und den Angriff erfolgreich durchzuführen.

3. Gegenwärtig sind diese äußerst wertvollen und leicht angreifbaren Cross-Chain-Bridge-Projekte zum ernsthaften Ziel vieler Hacker geworden.

4. Am 5. Januar erklärte Vitalik, dass die Zukunft der Blockchain "Multi-Chain" und nicht "Cross-Chain" sei, und betonte die Sicherheitsprobleme von Cross-Chain.

Am 29. März gab Ronin, die dedizierte Seitenkette des größten Kettenspiels Axie Infinity, bekannt, dass sie angegriffen wurde und 173600 ETH und mehr als 25 Millionen USDCs gestohlen wurden. Der Schaden bei Ronin belief sich auf 616 Millionen US-Dollar und übertraf damit die 611 Millionen des Poly Network-Diebstahls vom letzten August, der auch der größte Diebstahl in der Geschichte von DeFi war.

Zum Fall des Poly Network-Diebstahls lesen Sie bitte unseren früheren Blog-Beitrag: Poly Network Heist - Alarmglocken bei DeFi Security

Quelle: Twitter@Ronin

Laut der offiziellen Mitteilung von Ronin benutzten die Hacker am 23. März den gehackten privaten Schlüssel, um in das System einzudringen, und fälschten zwei Abhebungen, um den Angriff durchzuführen. Erst am 29. März, fünf Tage später, entdeckten die Projektverantwortlichen den Angriff, weil ein Nutzer meldete, dass 5000 ETH nicht von der Cross-Chain-Brücke abgehoben werden konnten. Nach dem Diebstahl stoppten Ronin-Beamte sofort Ronin Bridge und Katana, einen zentralisierten On-Chain-Austausch. Darüber hinaus sagten Ronin-Beamte, dass dieser Angriff die potenziellen Sicherheitsprobleme der Ronin-Brücke zeige, und dass die Sicherheit der Ronin-Blockchain selbst immer noch gewährleistet sei.

Unmittelbar nach Bekanntwerden der Nachricht fielen die Preise einer Reihe von verwandten Vermögenswerten, einschließlich AXS und RON, drastisch.

Details zum Hackerangriff

Axie infinity ist derzeit das beliebteste Blockchain-Spiel mit mehr als 10 Millionen Spielern weltweit. Das Spiel hat einen weitreichenden "Play-to-Earn"-Modus geschaffen. Die Spieler können während des Spiels NFT-Vermögenswerte oder eine Vielzahl von Token verdienen, die an der Börse gegen andere Vermögenswerte wie wETH und Stablecoin eingetauscht werden können.

Um den Anforderungen des hochfrequenten Requisitenhandels im Spiel gerecht zu werden und die Kosten für die Transaktionsabwicklung zu senken, hat Axie Infinity kein sichereres Ethernet-Hauptnetzwerk verwendet, sondern seine eigene leistungsstarke Ethernet-Side-Chain Ronin aufgebaut. Um die Transaktionsgeschwindigkeit zu gewährleisten, verwendet Ronin ein einzigartiges Proof-of-Authority (POA)-Konsensmodell mit einer geringen Anzahl von Überprüfern und einem hohen Maß an Zentralisierung. Der Autoritätsnachweis erfordert, dass diese Prüfer einen guten Ruf haben. Sie müssen ihre "Reputation" einsetzen, um Verifizierer zu werden. Zeigt der Prüfer Anzeichen von Fehlverhalten oder bedroht er die Sicherheit des Netzes, wird sein "Ruf" negativ beeinflusst.

Quelle: Axie Marketplace

Um Axie Infinity spielen zu können, müssen Sie drei NFT-Haustiere besitzen. Die ersten drei Axies sind Tickets für das Spiel und müssen im Game Store gekauft werden. Aus diesem Grund muss ETH auf der Ethereum-Blockchain in wETH auf der Ronin-Kette umgewandelt werden. Dieser Prozess wird durch eine spezielle Cross-Chain-Bridge durchgeführt. Außerdem können wir wETH verwenden, um Axie im Game Store zu kaufen. An dieser Stelle wurde die Cross-Chain-Bridge zur Schwachstelle von Ronin und zum Durchbruch dieses Hackerangriffs.

Zuvor waren insgesamt neun Validierungsknoten gemeinsam für die Wartung der Cross-Chain-Brücke verantwortlich. Mindestens fünf Signaturen der neun Knoten waren erforderlich, um die Ein- und Auszahlungsvorgänge auf der Cross-Chain-Brücke erfolgreich zu identifizieren. Bei diesem Angriff gelang es dem Hacker, die privaten Schlüssel von vier Knoten-Validatoren und einem Drittanbieter-Validator zu kontrollieren, die Validator-Schwelle der Cross-Chain-Brücke zu erreichen, den Angriff durchzuführen und das Geld erfolgreich abzuheben. Es wird berichtet, dass dieser zusätzliche Drittanbieter-Validator von der Axie DAO verwaltet wird, aber die vom Knoten in der Anfangsphase erteilte White-List-Erlaubnis wurde nicht aufgehoben. Der Angreifer kann die Signatur des Validators über den Nicht-Gas-RPC-Knoten erhalten.

Derzeit hat Ronin den Schwellenwert für den Cross-Chain-Bridge-Validator vorübergehend von 5 auf 8 erhöht, um das Risiko weiterer Angriffe vorübergehend auszuschließen. Seit dem 6. April ist der Katana Dex auf der Ronin-Kette wieder geöffnet.

Kettenübergreifende Brücke: Achillesferse

Die Cross-Chain-Brücke kann die On-Chain-Vermögenswerte von einer Blockchain auf eine andere übertragen. Wenn die Blockchain selbst mit einem soliden Ziegelstein verglichen wird, ist die Cross-Chain-Brücke die "weiche Verbindung" zwischen der Blockchain und der Blockchain. Im Zuge der Entwicklung der gesamten Blockchain-Branche entstehen immer mehr verschiedene öffentliche Ketten. Da diese öffentlichen Ketten nicht interoperabel sind, ist die Cross-Chain-Brücke, die miteinander kommunizieren kann, immer wichtiger geworden.

Bei diesem Angriff nutzten die Hacker nicht die Schlupflöcher des Smart Contracts, sondern griffen die Cross-Chain-Brücke zwischen Ronin und Ethereum an. Und auch die Angriffsmethode ist relativ primitiv: Es werden direkt die privaten Schlüssel mehrerer Cross-Chain-Bridge-Validierungsknoten gestohlen. Derzeit verwenden zahlreiche Cross-Chain-Bridge-Projekte die Multi-Signatur-Technologie, die der Ronin-Bridge ähnelt, und auch bei diesen Projekten besteht ein ähnliches Risiko, gehackt zu werden. Nach einem relativ strengen Code-Audit ist die Sicherheit der Blockchain selbst gewährleistet, und die Cross-Chain-Bridge mit extrem hoher TVL ist zur "Achillesferse" geworden, die die Sicherheit der Blockchain bedroht.

Laut Dune Analytics hat allein die TVL der Ethereum-Cross-Chain-Bridge 21,06 Milliarden Dollar erreicht. Darunter übersteigt die TVL von Polygon-, Avalanche-, Arbitrum-, Fantom- und Near-Cross-Chain-Brücken 1 Milliarde US-Dollar. Diese äußerst wertvollen und leicht angreifbaren Cross-Chain-Brückenprojekte sind zu ernsthaften Zielen vieler Hacker geworden.

Tatsächlich gab es in den letzten Monaten viele Hackerangriffe auf Cross-Chain-Brücken. Am 27. Januar 2022 wurde die Qubit-Brücke gehackt und ein bestimmter USD-Betrag wurde schließlich überwiesen; am 2. Februar wurde die Wormhole-Brücke ebenfalls gehackt und verlor 320 Millionen Dollar; am 5. Februar verlor eine andere Cross-Chain-Brücke, die Meter.io-Brücke, 4,2 Millionen Dollar an die Hacker.

Am 5. Januar 2022 erklärte Vitalik, der Gründer von Ethereum, auf Reddit, dass die Zukunft der Blockchain "Multi-Chain" und nicht "Cross-Chain" sei, und betonte die Sicherheitsprobleme von Cross-Chain. Bei einer einzelnen Blockchain ist es selbst im schlimmsten Fall noch möglich, den ursprünglichen Zustand der Blockchain wiederherzustellen. Sobald Cross-Chain involviert ist, ist das Problem schwer zu lösen.

Fazit

Die DeFi-Sicherheit war schon immer ein großes Problem bei der breiten Anwendung von Blockchain. In der Welt von "Code ist Gesetz" wäre es schade, wenn es Schlupflöcher in den Regeln gäbe. Mit der Verbesserung der einschlägigen Technologien hoffen wir aufrichtig, dass eine sicherere dezentralisierte Welt so bald wie möglich kommen kann.

Autor：Edward H., Gate.io Researcher, übersetzt von Cedric.P

*Dieser Artikel gibt nur die Meinung des Forschers wieder und stellt keine Investitionsempfehlungen dar.

*Gate.io behält sich alle Rechte an diesem Artikel vor. Die Wiederveröffentlichung des Artikels ist erlaubt, sofern Gate.io genannt wird. In allen anderen Fällen werden rechtliche Schritte aufgrund von Urheberrechtsverletzungen eingeleitet.