Circa 625 milioni di dollari in criptovalute sono stati rubati da Ronin, la blockchain alla base del popolare gioco online Axie Infinity, che utilizzando token non fungibili costituisce la più grande raccolta Nft per volume di vendite del mercato. Ronin e l’operatore di Axie Infinity Sky Mavis hanno rivelato ieri la violazione e hanno bloccato la piattaforma che consente di depositare e prelevare fondi dalla blockchain dell’azienda.
L’avvio delle indagini
Secondo la ricostruzione fornita da Ronin, il 23 marzo hacker non identificati hanno rubato circa 173.600 token ether e 25,5 milioni di token Usd Coin. Ai tassi di cambio attuali, i fondi rubati valevano 615 milioni di dollari, ma al momento dell’attacco valevano circa 540 milioni di dollari. Si tratta in ogni caso di uno dei più grandi furti di criptovalute mai registrati, in base alle valutazioni della società di analisi blockchain Elliptic.
Ronin ha spiegato in un post apparso sul blog aziendale che gli attaccanti hanno utilizzato chiavi private rubate – le password necessarie per accedere ai fondi crittografici – per bucare il sistema. “Stiamo lavorando direttamente con varie agenzie governative per garantire che i criminali vengano assicurati alla giustizia”, ha affermato il gruppo, aggiungendo che sono state avviate le discussioni con Axie Infinity su come garantire che i fondi degli utenti, che al momento non possono prelevare o depositare all’interno del network, non vadano persi.
Ronin sta inoltre collaborando con il principale tracker blockchain Chainalysis per rintracciare i fondi rubati, che dovrebbe ancora essere in gran parte nel portafoglio digitale dell’hacker.
L’anello debole della catena
Ad agevolare l’azione degli hacker sarebbe stato il meccasnimo dei nodi validatori, alla base delle blockchain proof-of-stake come Ronin, che consumano meno energia rispetto ai sistemi proof-of-work come Bitcoin ed Ethereum. I nodi esaminano le nuove transazioni per confermare che i loro input e output corrispondano e che le firme di autorizzazione siano valide, rifiutando qualsiasi transazione non conforme. L’utilizzo di un numero inferiore di nodi è più rapido ed efficiente, ma come mostra l’hacking, può creare rischi per la sicurezza se la maggior parte dei nodi viene compromessa. È una potenziale vulnerabilità per le blockchain che sono pubblicizzate come più economiche e più rispettose dell’ambiente rispetto a Ethereum.
Secondo Sky Mavis, l’attacco Ronin è stato possibile in parte a causa di una scorciatoia che la società aveva adottato per alleviare un “immenso carico di utenti” sulla sua rete nel novembre dello scorso anno, quando la popolarità del videogame è esplosa nelle Filippine e in altri paesi in cui addirittura alcuni giocatori hanno cominciato a utilizzarlo come un lavoro a tempo pieno. Il sistema è stato interrotto a dicembre, ma i permessi che lo consentivano non sono mai stati revocati. Dopo aver compromesso cinque dei nove nodi di convalida, l’attaccante può teoricamente scavalcare qualsiasi sicurezza di transazione e prelevare tutti i fondi desiderati.
Ecco perché Sky Mavis ha promesso che aumenterà il numero di nodi richiesto a otto per le transazioni e riaprirà il ponte Ronin “in un secondo momento” una volta che sarà certo che non sarà possibile drenare più fondi. “Come abbiamo visto, Ronin non è immune allo sfruttamento e questo attacco ha rafforzato l’importanza di dare priorità alla sicurezza, rimanere vigili e mitigare tutte le minacce”, ha affermato la società. “Sappiamo che la fiducia deve essere guadagnata e stiamo utilizzando ogni risorsa a nostra disposizione per implementare le misure e i processi di sicurezza più sofisticati per prevenire futuri attacchi”.
Check Point Software: “Le aziende non possono permettersi di diventare accondiscendenti”
“A causa dell’anonimato intrinseco della tecnologia blockchain, essa rappresenta un obiettivo pressoché a basso rischio e con una ricompensa elevata per gli hacker. Ecco perché li vediamo sempre più impegnati a sfruttare qualsiasi vulnerabilità esistente all’interno dell’ecosistema blockchain”, commenta Oded Vanunu, Head of Products Vulnerability di Check Point Software.
“La blockchain è decentralizzata e rende estremamente difficile sfruttare la sua funzionalità di base. Però, le aziende non possono permettersi di diventare accondiscendenti. Una network come Ronin, la rete blockchain che alimentava il gioco Axe Infinity dello sviluppatore Sky Mavis, aveva solo nove validatori. Di solito ce ne aspettiamo molti di più. Compromettendo solo cinque di loro, gli aggressori sono stati in grado di orchestrare uno dei più grandi furti di criptovalute fino ad oggi, falsificando le transazioni Nft. I nodi validatori del bridge Ronin sono stati violati mercoledì 23 marzo, ma Sky Mavis ha dichiarato di non aver scoperto la violazione fino a quasi una settimana dopo, martedì 29 marzo. L’aggressore ha usato le chiavi private violate per falsificare due transazioni di prelievo che hanno portato ad un furto di oltre 600 milioni di dollari”.
