金色觀察 | TheBlock：Axie5.4億美元是被黑客一份假Offer盜走的_MAV

2022年7月7日The Block披露，2022年3月以太坊側鏈Ronin被盜5.4億美元的原因，居然是Axie Infinity一位工程師收到的黑客組織偽裝的招聘公司提供的假Offer。

以下為The Block報道：

Ronin是支持游戲賺錢游戲Axie Infinity的與以太坊相關的側鏈，在3月份的一次漏洞利用中損失了5.4億美元的加密貨幣。雖然美國政府后來將此事件與朝鮮黑客組織Lazarus聯系起來，但尚未披露有關如何執行該漏洞的全部細節。

The Block揭示是一個虛假的招聘Offer摧毀了Ronin。

金色午報 | 4月25日午間重要動態一覽:7:00-12:00關鍵詞：DAO法案、以太坊、數字人民幣

1.懷俄明州DAO法案已被州長簽署，7月1日生效；

2.Vitalik為印度新冠援救運動捐贈超60萬美元加密貨幣；

3.以太坊上穩定幣流通量突破530億美元；

4.廣東：支持深圳開展數字人民幣試點，支持廣州爭取納入數字人民幣試點地區；

5.北京金融局局長：北京將推動數字人民幣等金融科技應用場景的挖掘；

6.比特幣和以太坊的證券產品規模已超過百億美元；[2021/4/25 20:55:52]

據兩名直接了解此事的人士稱，Axie Infinity的一名高級工程師被騙申請了一家實際上并不存在的公司的工作。由于事件敏感性，他們不愿透露姓名。

金色午報 | 12月24日午間重要動態一覽:7:00-12:00關鍵詞：數字人民幣保單、灰度母公司、Lighthouse v1.0.5、Layer2

1.全國首張數字人民幣保單成功出單

2.灰度母公司DCG將推出新的資管公司；

3.Sigma?Prime發布以太坊2.0客戶端Lighthouse v1.0.5版本；

4.ZKSwap開發負責人Alex Lee：未來Layer2有望取代以太坊Layer1的大部分功能；

5.波蘭加密礦商公司GamerHash計劃在韓國建立業務；

6.湖南省區塊鏈協會成立；

7.日本金融廳要求提供加密貨幣購物服務的運營商Avacus業務整改；

8.李禮輝：中國有必要抓緊完善我國法定數字貨幣的技術路徑；

9.前SEC委員：Ripple訴訟將給無辜的第三方造成數十億美元損失；

10.密碼學博士高承實：量子計算機大規模應用將對非對稱密碼算法和哈希函數帶來致命性的影響。[2020/12/24 16:22:10]

Axie Infinity在鼎盛時期，東南亞工人甚至能夠通過“邊玩邊賺”游戲謀生。去年11月，它的游戲內NFT擁有270日活躍用戶和2.14 億美元的每周交易量——盡管此后這兩個數字都大幅下降。

金色財經現場報道 東元基金聯合創始人林鴻藝：區塊鏈并不適用于所有場景，最適用的還是金融領域:金色財經現場報道，在西部中小企業發展論壇上，東元基金聯合創始人、九州偉業投資有限公司CEO、成都鬼斧科技有限公司董事長林鴻藝以《區塊鏈發展將給中國企業發展帶來什么？》為題發表演講，他指出：目前的調查結果顯示，中國的金融從業人員尚未對金融科技有足夠的了解。金融科技的發展日新月異，世界大型的資管公司均已投入部署。加強對區塊鏈技術的運用是縮短中國企業管理水平和國際管理水平差距的良好機會。區塊鏈技術被強加了很多概念，事實上區塊鏈并不適用于所有場景，最適用的還是金融領域。希望大家能有一個包容的心態看待這項技術。[2018/4/28]

據知情人士透露，今年早些時候，聲稱代表這家假公司的人聯系了Axie Infinity開發商 Sky Mavis的員工，并鼓勵他們申請工作。一位消息人士補充說，這些方法是通過專業網站 LinkedIn進行的。

一位消息人士稱，經過多輪面試后，Sky Mavis的一名工程師獲得了一份薪酬極其豐厚的工作。

偽造的“Offer”以PDF文檔形式提供，工程師下載了該文檔——這讓間諜軟件滲透到Ronin系統。從那里，黑客能夠攻擊并接管Ronin網絡上九個驗證者中的四個，他們再有一個驗證者就可以完全控制Ronin橋。

在4月27日發布的關于黑客攻擊的事后博客文章中，Sky Mavis說：“員工不斷受到各種社交渠道的高級釣魚式網絡釣魚攻擊，一名員工遭到入侵。該員工不再在Sky Mavis工作。攻擊者設法利用該訪問權限來滲透Sky Mavis IT基礎設施并獲得對驗證節點的訪問權限。”

驗證者在區塊鏈中完成各種功能，包括創建交易塊和更新數據預言機。Ronin使用所謂的“權威證明”系統來簽署交易，將權力集中在九個受信任的參與者手中。

區塊鏈分析公司Elliptic在4月份就該事件發表的一篇博客文章解釋說：“如果九個驗證者中有五個批準，則可以將資金轉出。攻擊者設法獲得了屬于五個驗證者的私鑰，這足以竊取加密資產。”

但在通過虛假招聘廣告成功滲透到Ronin系統后，黑客只控制了九個驗證者中的四個——這意味著他們需要另一個驗證者來控制。

Sky Mavis在其復盤報告中透露，黑客設法使用Axie DAO（去中心化自治組織）——一個為支持游戲生態系統而設立的組織——來完成攻擊。Sky Mavis曾在2021年11月請求DAO幫助處理繁重的交易負載。

“Axie DAO允許Sky Mavis代表其簽署各種交易。這已于2021年12月停止，但未撤銷許可名單訪問權限，”Sky Mavis在博客文章中說。“一旦攻擊者能夠訪問Sky Mavis系統，他們就能夠從 Axie DAO驗證者中獲取簽名。”

黑客攻擊一個月后，Sky Mavis將其驗證節點的數量增加到11個，并在博客文章中表示，其長期目標是擁有100多個。  

Sky Mavis拒絕評論黑客是如何進行的。Linkin沒有回應置評請求。

Tags：MAVAVISKY區塊鏈mav幣有希望嗎NAVI幣skynet以下哪個不是區塊鏈區塊的結構

DOGE