Ronin安全事件分析-ODAILY_tron

前言

Ronin是新加坡游戲工作室SkyMavis開發的，是為支持游戲AxieInfinity而構建的以太坊側鏈，使得用戶能夠自由地將資產轉移到其他鏈上。

北京時間2022年3月29日，RoninNetwork官方發布聲明稱RoninBridge遭到入侵，損失了173600枚ETH和價值2550萬美元的USDC。

知道創宇區塊鏈安全實驗室第一時間跟蹤本次事件。

Andre Cronje：Fantom不會涉足AI，區塊鏈和AI不能結合:2月9日消息，Fantom創始人Andre Cronje在推特上回應，Fantom不會涉足AI，區塊鏈和AI不能結合。具體針對“Fantom區塊鏈在人工智能行業中扮演什么角色？”的提問，他回答，區塊鏈=慢（按照中心化的標準來看）但透明安全，Al=高吞吐量、不透明、黑盒。

這兩件事不能混為一談。這就像問“你認為可口可樂在建筑行業中扮演什么角色？”區塊鏈和Al不是互補的。目前任何人都想蹭“AI”的熱點。如果你看到一個項目突然“轉向Al”，這只意味著他們可能“快死了”……區塊鏈不會改善Al，而Al也沒有改善區塊鏈。[2023/2/9 11:56:49]

波場TRON單日穩定幣轉賬額高達近200億美元:據TRONSCAN數據顯示，11月30日，波場TRON穩定幣轉賬額為199.3億美元，近200億美元。

據悉，波場TRON在穩定幣領域已布局四大穩定幣，包括USDT、USDJ、TUSD、USDC，大幅提升了波場TRON現有的去中心化應用生態系統，帶來更高的整體價值存儲和更強的去中心化交易所流動性，并為企業級合作伙伴與機構投資者提供更便捷的區塊鏈入口。[2021/12/1 12:44:17]

基礎信息

TronLink波寶錢包iOS版v3.7.0正式發布:據官方最新消息，波寶錢包iOS最新版本v3.7.0已正式發布。該版本主要改版了投票功能，支持查看預估投票收益，且優化了行情頁面和錢包管理交互。 TronLink波寶錢包是一款安全、全面、專業的波場錢包，支持移動端和PC端，是目前波場TRON生態中用戶量最大的去中心化錢包，其產品已經累計為超過40萬的波場用戶提供服務。[2020/8/17]

攻擊者地址：0x098B716B8Aaf21512996dC57EB0615e2383E2f96

tx1：0xc28fad5e8d5e0ce6a2eaf67b6687be5d58113e16be590824d6cfa1a94467d0b7

tx2:0xed2c72ef1a552ddaec6dd1f5cddf0b59a8f37f82bdda5257d9c7c37db7bb9b08

事件概述

據目前官方發出的聲明稱，攻擊者使用被黑客入侵的私鑰來偽造虛假的提款。直到29日早上，一名用戶無法從橋上提取5kETH而向Ronin官方報告之后，才發現了這次攻擊。目前Ronin橋和KatanaDex已經停止，官方也將驗證器閾值從5個提高到了8個。

Ronin鏈目前由9個驗證器節點組成。為了識別存款事件或提款事件，需要九個驗證者簽名中的五個。攻擊者設法控制了SkyMavis的四個Ronin驗證器和由AxieDAO運行的第三方驗證器。驗證器密鑰方案是分散設置的，以此來限制類似于此次的攻擊，但攻擊者發現了Ronin的無GasRPC節點的后門，從而獲取了AxieDAO驗證器的簽名。

此次事件由來可以追溯到2021年11月，當時AxieDAO驗證器被允許分發免費交易。這已于2021年12月停止，但AxieDAO驗證器IP仍在允許列表中。一旦攻擊者訪問了SkyMavis系統，便能夠通過無GasRPC從AxieDAO驗證器獲得簽名。

目前Ronin官方已經確認惡意提款中的簽名與五個可疑的驗證者相匹配。

總結

本次攻擊事件核心是私鑰泄露而導致的，雖然官方宣稱私鑰泄露是因為社會工程，但官方在攻擊發生一周后才公開此次事件，理由難免有些牽強，很難不使人猜想項目人員監守自盜的可能。

在此提醒項目方發布項目后一定要將私鑰嚴密保管，謹防網絡釣魚，另外，近期，各類合約漏洞安全事件頻發，合約審計、風控措施、應急計劃等都有必要切實落實。

Tags：RONONI區塊鏈trontronlink波寶錢包怎么激活Sonic Space Cat區塊鏈游戲1Tronic Network

瑞波幣