提起 Axie Infinity 這款區(qū)塊鏈游戲，許多人可能感到陌生，但如果說其單日收入可與《王者榮耀》爭鋒，想必大家就對這款鏈游的熱門程度“有數(shù)”了——不過，它的輝煌并沒有持續(xù)太久。

去年年中開始，主打“邊玩邊賺”（Play-to-Earn）的 Axie Infinity 可謂是風光無兩，其通過游戲賺取加密貨幣的方式一時之間吸引了諸多玩家，日活用戶數(shù)更是在 11 月達到峰值。

但緊接著，這款游戲便進入“下滑期”，整體收入和日活用戶數(shù)量飛速下降，今年 3 月遭遇了 DeFi（Decentralized Finance，即去中心化金融）史上最大的黑客攻擊更是“雪上加霜”：3 月 29 日，Axie Infinity 被黑客使用破解的私鑰來偽造假提款，造成了約 6.25 億美元（17.36 萬枚以太坊和 2550 萬 USDC）的損失。

(資料圖片僅供參考)

當時，Axie Infinity 的游戲開發(fā)商 Sky Mavis 表示此次攻擊是通過網(wǎng)絡(luò)釣魚計劃實現(xiàn)的，政府方面則認定是由黑客組織 Lazarus 發(fā)起的，但二者均未披露有關(guān)這起事件的相關(guān)細節(jié)。

如今三個月過去了，這起黑客攻擊事件的源頭終于有所眉目：據(jù)外媒 The Block 報道，這一切源于一名 Axie Infinity 高級工程師收到了由黑客組織偽裝的招聘公司所提供的一份假 Offer。

假 Offer 中夾雜著間諜軟件

正如開頭所說，Axie Infinity 曾在去年 11 月達到頂峰：擁有 270 萬日活躍用戶，每周交易量高達 2.14 億美元?；蛟S是由于此后游戲熱度的驟減動搖了 Axie Infinity 背后 Sky Mavis 開發(fā)團隊的信心，總之黑客趁機向一名 Sky Mavis 高級工程師（以下用 E 代稱）拋出了“誘餌”。

今年年初，黑客組織偽裝成一所假公司，通過職業(yè)社交網(wǎng)站 LinkedIn 向 E 發(fā)送招聘廣告，邀請 E 來他們的公司工作（實際上，這家公司并不存在）。

毫無察覺的 E 上鉤了，經(jīng)過多輪面試后，E 看似獲得了一份薪酬極其豐厚的工作，黑客組織按照正常的招聘流程通過 PDF 向 E 發(fā)送了一份 Offer，E 也下載了——然而，這份 Offer 中隱藏著可以入侵到 Ronin 系統(tǒng)的間諜軟件。

準確來說，遭到黑客攻擊的就是 Sky Mavis 專為 Axie Infinity 設(shè)計的以太坊側(cè)鏈 Ronin。對許多 Axie Infinity 玩家而言，他們通常并不只在一個區(qū)塊鏈生態(tài)系統(tǒng)中運作，為此 Sky Mavis 開發(fā)了跨鏈橋 Ronin Bridge，允許玩家將以太坊或 USDC 存入 Ronin，用其購買非同質(zhì)化代幣（NFT）或游戲內(nèi)貨幣，也可以出售其游戲內(nèi)的資產(chǎn)并提取資金。

黑客通過發(fā)給 E 的假 Offer 入侵了 Ronin 系統(tǒng)，控制了其中 4 個驗證器節(jié)點。而 Ronin 鏈由 9 個驗證器節(jié)點組成，識別存取款事件需要得到其中 5 個節(jié)點的簽名，于是黑客便設(shè)法獲取了 Axie DAO 驗證器的簽名。

Ronin 事后對此的解釋為：2021 年 11 月 Sky Mavis 的用戶負載巨大，因此請求了 Axie DAO 的幫助，Axie DAO 允許 Sky Mavis 代表其簽署各種交易。雖然這項合作于 2021 年 12 月停止，但未撤銷許可名單訪問權(quán)限。

因此，簡單概括整個流程就是：黑客通過假 Offer 中的間諜軟件控制了 4 個 Ronin 驗證器節(jié)點后，又利用 RPC 節(jié)點的后門獲取了 Axie DAO 的簽名，由此實現(xiàn)掌控 5 個節(jié)點簽名，最終實現(xiàn)資產(chǎn)盜竊。

Ronin Bridge 已于 6 月 28 日重新開放

根據(jù) 3 月 29 日 Ronin 發(fā)布的公告來看，黑客早在 3 月 23 日就兩次利用 Ronin Bridge 竊取了 17.36 萬枚以太坊，以及價值超 2550 萬美元的 USDC。但直到 3 月 29 日有玩家投訴無法從 Ronin 中提取 5000 枚以太坊之后，Ronin 才發(fā)現(xiàn)其驗證器節(jié)點和 Axie DAO 驗證器節(jié)點已遭到破壞。

在 Sky Mavis 于 4 月 27 日發(fā)布的關(guān)于黑客攻擊的博客文章中，也隱晦提到了攻擊源頭：“員工不斷受到各種社交渠道的網(wǎng)絡(luò)釣魚攻擊，其中一名員工遭到入侵，目前這名員工已不在 Sky Mavis 工作。攻擊者設(shè)法利用該員工的訪問權(quán)限來滲透 Sky Mavis 的 IT 基礎(chǔ)設(shè)施并獲得對驗證節(jié)點的訪問權(quán)限?！?/p>

因此當時 Sky Mavis 表示，已將其驗證節(jié)點數(shù)增加到 11 個，之后的長期目標是希望能拓展到 100 多個。

截止目前，Ronin Bridge 已于 6 月 28 日起重新開放，意味著 Axie Infinity 玩家可以從他們的游戲賬戶中存取資金，同時為了防止類似攻擊的再次發(fā)生，Ronin Bridge 接受了兩家知名區(qū)塊鏈安全公司 Verichains 和 Certik 的內(nèi)部審計和檢查。此外，Sky Mavis 也表示會補償受本次事件影響的用戶，承諾向其返還丟失的資產(chǎn)。

網(wǎng)友：“完全是員工的錯嗎？”

對于 The Block 所報道的這場黑客攻擊的源頭解說，許多網(wǎng)友從不同角度發(fā)表了自己的見解。

“主要有兩點要強調(diào)：

（1）LinkedIn 絕對是壞人的極好幫手，它可以輕易地用釣魚郵件和短信攻擊公司里的每個人。我知道許多安全專家在 LinkedIn 都不用他們的真名，也不透露其公司的名稱，因為他們知道這是一個很好的黑客載體。

（2）我希望有更多關(guān)于 PDF 中漏洞的信息。我想很多人會對從陌生人那里下載 PDF 文件持謹慎態(tài)度，但對方如果是一個面試過多次、并給了你一份工作的人，情況可能就不是這樣了?！?/p>有人認為以太坊的安全性被炒作得過了頭：

“正如本文所說的那樣，這個系統(tǒng)的安全保證遠遠弱于以太坊共識協(xié)議。但這個系統(tǒng)被那些無視這一基本事實的騙子們炒作到了極點，還對安全性和穩(wěn)定性提出了荒謬的說法。

基本上來說，以太坊被炒作為‘智能合約’平臺。可一旦智能合約做了除基本轉(zhuǎn)賬以外的任何事情，它就需要一個‘驗證器’。但也就因為“驗證器”的存在，安全性才大大降低。在這種顯而易見的問題下，這樣的惡作劇還會繼續(xù)發(fā)生?！?/p>也有人指責 Sky Mavis 將事故問題推到員工身上：

“另一個導致攻擊事件的原因難道不是為什么這個開發(fā)者擁有 5 個簽名密鑰嗎？這根本不應該發(fā)生，因為這樣的話這個開發(fā)者豈不是也有機會帶著 6.25 億美元逃逸？公司不應該把錯誤完全賴在員工頭上?！?/p>

參考鏈接：

https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game

https://news.ycombinator.com/item?id=32001742

關(guān)鍵詞： 黑客攻擊 間諜軟件 高級工程師