MAV:一份假 Offer 如何盜走了 Axie infinity 5.4 億美元？

來源：TheBlock

原文作者：RyanWeeks

編譯：Katie辜，Odaily星球日報

今年早些時候，黑客誘騙?AxieInfinity??的一名高級工程師申請了一家虛構的公司的工作，最終導致AxieInfinity?遭受?5.4?億美元加密貨幣的損失。以下是TheBlock報道的黑客入侵?AxieInfinity?的細節。

很少能有求職經歷比?AxieInfinity高級工程師的遭遇更刺激了。他對加入一家虛構公司的興趣最終促成了加密行業最大的黑客攻擊之一。

去年?11?月，AxieInfinity?游戲內?NFT??的日活躍用戶一度達到?270?萬，周交易額達到?2.14?億美元。

Cardano創始人：IOHK與安全審計公司Runtime Verification簽署了一份七位數的合同:Cardano創始人、IOHK首席執行官Charles Hoskinson在最新的AMA上透露，IOHK已與安全審計公司Runtime Verification簽署了一份七位數的合同。此外，Charles還表示將在10月29日的月度產品更新中發布關于Goguen的路線圖。（Crypto News Flash）[2020/10/11]

而今年?3?月，P2E鏈游龍頭AxieInfinity?的以太坊側鏈?Ronin?損失了價值5.4億美元的加密貨幣。雖然美國政府后來將這一事件與朝鮮黑客組織?Lazarus?聯系在一起，但有關這次攻擊是如何進行的全部細節尚未披露。其實毀掉?Ronin?的僅僅是一個虛假的招聘廣告。兩名了解此事的人士表示，AxieInfinity?的一名高級工程師被騙申請了一家實際上并不存在的公司的職位。由于事件的敏感性，這兩名人士要求匿名。

動態 | 以太坊開發人員：以太坊2.0的抵押合約正等待一份報告 Beacon chain測試網資源管理器已啟動:據Trustnodes 12月5日消息，以太坊2.0構建團隊Prysmatic Labs的Danny Ryan表示，以太坊2.0的抵押合約似乎本月難以達成，因為它現在正在等待一份報告的發布。他表示：“運行驗證將在一個月內發布正式的版本、分析和報告。一旦發布，就可以部署合約。”此外，Ryan表示，所有這些，包括這份報告，應該在一個月內完成。如果到時還有問題需要解決，那將還需要一段時間，據估計，抵押合約最早可能在1月底或2月份推出。在此之前，抵押合約要經過一個測試網，目前尚不清楚何時啟動以太坊2.0多客戶端測試網。但是，有一個資源管理器已經投入使用，但這是針對Prysmatic Labs特定的單客戶端Beacon chain測試網的。以太坊2.0客戶端Lighthouse最近也啟動了其單客戶公共測試網，其代碼也正在接受審核。[2019/12/6]

據知情人士透露，今年早些時候，自稱代表這家假冒公司的人通過?LinkedIn和?WhatsApp勾搭了?AxieInfinity?開發商?SkyMavis?的員工，利用新工作機會引誘他。有消息稱，在經過多輪面試后，SkyMavis?的一名工程師獲得了一份薪酬極其豐厚的工作。

動態 | 俄羅斯社交網絡流傳一份“數字盧布”項目宣言 聲稱將能取代美元:根Forklog消息，在俄羅斯的國民社交網絡VK中，一份關于創建“數字盧布”的宣言正在傳播。該運動作者稱自己為KIRMENA，他表示發表了支持俄羅斯礦業和創建新的加密貨幣的宣言，他們確信稱為“KIRKOIN”的新加密貨幣能這將改變現有的金融秩序、夠取代美元并“再次讓俄羅斯變得偉大”。[2018/9/11]

這個虛假Offer是以?PDF?文件的形式發送的，工程師下載了這個文件——這讓木馬得以滲透到?Ronin?的系統中。從那時起，黑客可以攻擊并接管?Ronin?網絡上?9?個驗證器中的?4?個，只差?1?個驗證器無法完全控制。

國內第一份官方的區塊鏈產業白皮書今日發布：區塊鏈未來三年將在實體經濟廣泛落地:今天上午11點，工信部信息中心正式發布《2018年中國區塊鏈產業發展白皮書》。負責該白皮書項目的工信部信息中心工業經濟研究所所長于佳寧表示，這是國內第一份官方發布的區塊鏈產業白皮書。

該白皮書表示，區塊鏈產業已經形成，并且成為創新高地。根據白皮書總結，目前區塊鏈發展有六大趨勢：一、區塊鏈成為全球技術發展的前沿陣地，開辟國際競爭新賽道；二、區塊鏈領域成為創新創業的新熱土，技術融合將拓展應用新空間；三、區塊鏈未來三年將在實體經濟中廣泛落地，成為數字中國建設的重要支撐；四、區塊鏈打造新型平臺經濟，開啟共享經濟新時代；五、區塊鏈加速“可信數字化”進程，帶動金融“脫虛向實”服務實體經濟；六、區塊鏈監管和標準體系將進一步完善，產業發展基礎繼續夯實。[2018/5/20]

SkyMavis?在?4月?27?日發布的一篇博文中對此次黑客攻擊進行了分析，文章稱：“員工在各種社交渠道上不斷受到高級釣魚網絡攻擊，其中一名員工遭到了攻擊。這名員工已經不在?SkyMavis?工作了。攻擊者成功利用該訪問權限滲透?SkyMavis?的?IT?基礎設施，并獲得了對驗證器節點的訪問權限。”

驗證器在區塊鏈中可實現各種功能，包括創建交易區塊和更新數據預言機。Ronin?使用所謂的“授權證明”系統來簽署交易，將權力集中在?9?個可信任的驗證者手中。

區塊鏈分析公司?Elliptic?在今年?4?月的一篇博客文章中解釋說：“如果九個驗證者中有五個批準，資金就可以轉移出去。攻擊者設法獲得了?5?個驗證器的私有加密密鑰，這足以竊取加密資產。”

但在通過假招聘廣告成功滲透到?Ronin?的系統后，黑客只控制了?9?個驗證器中的?4個——這意味著黑客還需要另一個才能控制?Ronin?系統。

在事后分析中，SkyMavis?透露，黑客成功地使用了?Axie?DAO??來完成盜取。SkyMavis?曾在?2021年?11?月請求?Axie?DAO?幫助處理交易負載問題。

“AxieDAO?允許?SkyMavis?代表其簽署各種交易。在?2021?年?12?月暫停，但允許訪問列表沒有被撤銷，”SkyMavis?在博客文章中說。“一旦攻擊者進入?SkyMavis?系統，他們就能從?AxieDAO?驗證器獲得簽名。”

黑客入侵一個月后，SkyMavis?將其驗證器節點的數量增加到11?個，并在博客文章中表示，其長期目標是超過?100?個。

當記者聯系到?SkyMavis?時，該公司拒絕就此次黑客攻擊是如何進行的置評。LinkedIn?也多次拒絕置評。

今天早些時候，ESET?研究公司公布了一項調查，顯示朝鮮黑客組織?Lazarus?用?LinkedIn和?WhatsApp?冒充招募人員，目標人群是航空航天和國防承包商。但該報告并未將該技術與?SkyMavis?黑客聯系起來。

今年?4?月初，SkyMavis?在由幣安?領投的一輪融資中籌集了?1.5?億美元。所得款項將與該公司備用資金一起用于補償受該漏洞影響的用戶。AxieInfinity?最近表示，將于?6?月?28?日開始向返還用戶資金。在被黑客攻擊時突然中斷的?Ronin?的以太坊橋也于上周也重新啟動了。

根據?TheBlockResearch?的數據，今年?DeFi?黑客攻擊事件頻發，損失的資金總額超過20?億美元。1?月1?日，這一數字僅為?7.6?億美元。

Tags：AVIMAV區塊鏈SKYDavincij15 Tokenmav幣挖礦ruff幣區塊鏈最新消息Skyrim Finance

幣贏交易所