Roninブリッジが悪用され、173,600ETHと25.5M USDCが流出したようです。
重要事項
・ETHとUSDCに関しては、現在全力で対策をとっている。
・AXS、SLP、RONは無事
・Katana、Roninネットワークは現在停止されている
元記事↓
以下和訳↓
主なポイント
・Roninブリッジが悪用され、173,600ETHと25.5M USDCが流出しました。
・Ronin bridgeとKatana Dexは一時的に停止さています。
・法執行機関、法廷の暗号技術者、および投資家と協力して、すべての資金が回収、払い戻されるように努めています。RoninのAXS, RON, SLP は今現在安全です。
Ronin ネットワークでセキュリティ侵害が発生しました。
本日未明、3月23日にSky MavisのRoninバリデータノードとアクシーDAOバリデータノードが侵害されていた事が発覚しました。2つの取引でRoninブリッジから173,600ETHと25.5M USDCが流出しました。ハッカーはハッキングされた秘密鍵を使用し、偽の引き出しを行いました。
今朝、Roninから5,000ETHを引き出せなくなったとの報告をユーザーから受けて、このハッキングが発覚しました。
ハッキングについての詳細
Sky MavisのRoninチェーンは、現在9つのバリデータノードで構成されています。
入金や出金を認識するためには、9つのバリデータのうち5つの署名が必要です。
ハッカーは、Sky Mavisの4つのRoninバリデータとAxieDAOが運営する第三者バリデ ータをハッキングしました。
バリデータの鍵は、今回のようなハッキングから守るために分散型に設定されています。
ハッカーは我々のガスフリーRPCノードから裏口を見つけ、それを悪用してAxieDAOバリデータの署名を取得したようです。
この原因は、ユーザー数が増加した2021年11月に遡ります。skymavisは無料トランザクションを継続するためにAxie DAOに助けを求めました。Axie DAOはSky Mavisを許可リストにいれ、さまざまなトランザクションに代理で署名させました。これは2021年12月に廃止されましたが、許可リストのアクセスは取り消されていませんでした。
ハッカーはSky Mavisのシステムにアクセスし、AxieDAOのバリデータからガスフリーRPCを使用して署名を取得することができました。
偽造された出金の署名は、疑いのある5つのバリデータと一致するが確認できています。
対処方法
・この事件の発覚後、迅速に対処し、今後の防御策をとっています。短期的な被害拡大を防ぐため、バリデーターの基準値を5個から8個に増やしました。
・主要な取引所のセキュリティ・チームと連絡を取り合っており、今後数日のうちにすべての取引所に連絡を取る予定です。
・古いインフラから完全に分離されたノードへの移行をしている最中です。
・これ以上のハッキングがないことを確認するために、Ronin Bridgeを一時的に停止しています。BinanceもRoninとの間のブリッジを無効に。資金が流出しないことが確認されれば、再開される予定です。
・Katana DEXを一時的に停止。
・私たちは Chainalysis（ブロックチェーン分析企業）と協力して、盗まれた資金を監視しています。
次のステップ
犯人が裁かれるよう、様々な政府機関と直接連携しています。
現在、Axie Infinity/Sky Mavisのステークホルダーと、資金が失われることのないよう、最善の方法を検討しているところです。
Sky Mavisブランドは長期的に発展していくものであり、今後も継続していきます。
メディア・コミュニティ向けQ&A
・バリデーターのしきい値はなぜ5つだけだったのですか？
元々Sky Mavisは、一部のノードがチェーンに追いつかなかったり、同期状態で止まってしまったりしたため、9つのうち5つの閾値を選びました。今後は、9個中8個をしきい値とする予定です。時間をかけて、迅速なスケジュールでバリデータを拡張していく予定です。
・資金は今どこにあるのか？
ハッキングされた資金の大半は、まだハッカーのウォレットにあります。https://etherscan.io/address/0x098b716b8aaf21512996dc57eb0615e2383e2f96
・なぜこのような事態になったのでしょうか？
現在、徹底的な調査を行っている最中です。
5つのバリデータの秘密鍵がハッキングされました。4つのSky Mavisバリデータと1つのAxie DAOです。
バリデータの鍵は分散化されているので、このような攻撃は制限されますが、ハッカーは私たちのガスフリーRPCノードから裏口を見つけ、それを悪用してAxie DAOバリデータの署名を取得しました。
この原因は、ユーザー数が増加した2021年11月に遡ります。skymavisは無料トランザクションを継続するためにAxie DAOに助けを求めました。Axie DAOはSky Mavisを許可リストにいれ、さまざまなトランザクションに代理で署名させました。これは2021年12月に廃止されましたが、許可リストのアクセスは取り消されていませんでした。
ハッカーはSky Mavisのシステムにアクセスし、AxieDAOのバリデータからガスフリーRPCを使用して署名を取得することができました。偽造された出金の署名は、疑いのある5つのバリデータと一致するが確認できています。
・Roninは使っても安全ですか？
今回のハッキングで、警戒を怠らずセキュリティを優先することの重要性が再確認されました。私たちは信頼を得る必要があることを理解しています。今後のハッキングを防ぐために、最高級のセキュリティを準備するなど、あらゆる方法で防いでいきます。
・なぜ今、情報漏えいについて知らされたのですか？
3月29日、ユーザーがRoninから5,000ETHを引き出せないという報告を受けました。それについて調べたところ、Sky Mavisチームがセキュリティ侵害を発見しました。
・Roninにある資金は危険にさらされているのですか？
Ronin上のETHとUSDCの預金は、Roninブリッジから流出しました。私たちは法執行機関、法廷の暗号技術者、および投資家と協力して、ユーザーの資金が失われないように努めています。私たちの最優先事項です。
今現在、RoninのAXS、RON、SLPはすべて安全です。
・Ronin Networkに資金を預けているユーザーはどうなりますか？
現在、ユーザーはRonin Networkに資金を引き出したり預けたりすることができません。Sky Mavisは流出した資金がすべて回収されるか、払い戻されることを保証するために尽力しています。
コメント