Theo các chuyên gia bảo mật, việc xây dựng một sidechain riêng có tên Ronin là một trong những điểm khác biệt giúp trò chơi Axie Infinity phát triển mạnh thời gian qua. Tuy nhiên hệ thống xác thực của mạng này cũng là điểm yếu và là nguyên nhân chính dẫn đến vụ tấn công ngày 23/3, khiến mạng lưới bị lấy đi hàng trăm triệu USD.
Đồ họa trong Axie Infinity. Ảnh: Sky Mavis
Vì sao Sky Mavis xây dựng Ronin?
Theo Arstechnica, khi mới xây dựng, Axie Infinity chạy trực tiếp trên blockchain Ethereum. Tuy nhiên, đặc điểm của chuỗi khối này là phí giao dịch cao, trong khi tốc độ giao dịch chậm. Điều này dần trở thành rào cản cho sự phát triển của trò chơi khi lượng người dùng ngày càng gia tăng.
Để giải quyết vấn đề đó, năm 2020, Sky Mavis bắt đầu sử dụng một một chuỗi khối riêng song song với chuỗi khối chính (sidechain) nhằm giảm việc phải trả phí "gas" Ethereum cho các các giao dịch trong trò chơi. Ban đầu, Sky Mavis chọn sidechain từ đối tác bên thứ ba là Loom Networks. Đến tháng 3/2020, công ty tuyên bố ngừng sử dụng Loom, đồng thời giới thiệu sidechain tự phát triển Ronin.
Khác với cơ chế PoW (proof-of-work) của Ethereum sử dụng toàn bộ mạng lưới blockchain phân tán để xác thực giao dịch, Ronin vận hành bằng cơ chế PoA (proof-of-authority). Cơ chế này sử dụng một tập hợp nhỏ các nút được chọn lọc một cách cẩn thận để xác thực. Một lựa chọn khác có thể sử dụng là thông qua các sàn giao dịch như Binance hoặc Katana để làm cầu nối (bridge) tài sản trong game giữa Ronin và Ethereum. Tuy nhiên, việc dùng một sàn bên ngoài cũng sẽ khiến quy trình và chi phí tăng cao nếu giao dịch ở quy mô lớn.
Cơ chế của Ronin sử dụng chín nút xác thực. Thực tế ở trong suốt thời gian qua, hệ thống chỉ yêu cầu xác thực từ 5 trên 9 nút này để hoàn thành một giao dịch. Các chuyên gia nhận định, việc sử dụng số nút nhỏ là chìa khóa giúp Sky Mavis đáp ứng khối lượng giao dịch ở mức cao với chi phí thấp hơn nhiều so với mạng lưới Ethereum rộng lớn. Nhưng điều này cũng cho thấy tính tập trung của mạng lưới chưa cao, khi quyền xác thực nằm trong tay của một số ít nút.
Thực tế này đã mở đường cho hacker dễ dàng hơn trong việc kiểm soát các nút để tiến hành giao dịch trái phép.
Lượng giao dịch mà Ronin xử lý nhiều giai đoạn cao hơn cả mạng Ethereum. Ảnh: Nansen Research
Cuộc tấn công
Trong báo cáo của Ronin Network, nhóm phát triển "đang trong quá trình điều tra một cách kỹ lưỡng" để xác định vấn đề. Nhóm cũng thừa nhận, năm khóa riêng của trình xác thực đã bị tấn công. Đáng chú ý, bốn trong năm khóa này được kiểm soát bởi công ty chủ quản Sky Mavis.
Khóa thứ năm thuộc về Axie DAO - một dạng tổ chức phi tập trung. Tuy nhiên, hacker cũng đã khai thác được khóa này từ chính Sky Mavis thông qua một backdoor của hệ thống. Trước đó, vào tháng 11/2021, do lượng người dùng tăng trưởng nhanh, Sky Mavis yêu cầu quyền xác thực giao dịch thay cho Axie DAO. Đến tháng 12, quyền này đã bị ngừng, nhưng đã không bị thu hồi.
Với năm nút xác thực này, kẻ tấn công có thể cung cấp đủ chữ ký xác thực cho bất cứ giao dịch nào chúng muốn trên hệ thống, dẫn đến các giao dịch gian lận.
Một vấn đề khác cũng đang được các nhà nghiên cứu chỉ ra là khả năng phát hiện giao dịch bất thường của hệ thống Ronin. Nếu đúng như đội ngũ công bố, vụ tấn công đã xảy ra từ ngày 23/3, nhưng chỉ được phát hiện sau khi một người dùng báo cáo tình trạng không thể rút tiền vào ngày 29/3, tức gần một tuần sau đó.
"Trong sáu ngày, không ai phát hiện những giao dịch chuyển tiền bất hợp pháp", Wilfred Daye từ tổ chức Securifying Capital thắc mắc.
Trong công bố mới vào sáng 30/3, Sky Mavis cho biết đang phối hợp với một số bên như Chainalysis, Crowdstrike để theo dõi các khoản tiền bị lấy đi cũng như thiết lập các công cụ giám sát. Công ty cũng khẳng định vụ tấn công được thực hiện từ bên ngoài, loại trừ yếu tố nội gián. Ngoài ra, "các bằng chứng cũng chỉ ra đây là kỹ thuật tấn công xã hội hơn là một lỗ hổng kỹ thuật", đội ngũ Ronin nhận định.
Sau khi chiếm được lượng tiền số, gồm 173.600 Ether và 25,5 triệu USDC, hacker đã chuyển một số tiền ăn cắp lên các sàn tập trung như Houbi, FTX. Theo các chuyên gia, đây có thể là đầu mối truy tìm thủ phạm bởi các sàn này đều yêu cầu KYC khi giao dịch với số tiền lớn.
Đại diện Sky Mavis cho biết đang làm việc với các cơ quan thực thi pháp luật, các nhà điều tra mật mã học và các nhà đầu tư để đảm bảo tất cả khoản tiền đều được thu hồi hoặc hoàn trả. "Tất cả các đồng AXS, RON và SLP trên Ronin đều an toàn", Ronin Network thông báo.
Lưu Quý (theo Arstechnica, Bloomberg)