Ronin: neun Wachen, aber fünf Schlüssel sind genug, um den Schatz wegzunehmen

Am 23. März 2022 nahmen zwei Abhebungen 173.600 Äther und 25,5 Millionen USDC von der Ronin Bridge, die vom Axie Infinity-Ökosystem verwendet wurde. Ihr Wert liegt in der Größenordnung von 600 Millionen US-Dollar, abhängig vom gewählten Datum und Preis. Das Eindringen wurde erst einige Tage später veröffentlicht.

Eine Bridge behält Assets in einem Netzwerk, damit sie in einem anderen Netzwerk verwendet werden können. Ronin verlässt sich dann auf neun Validatoren, von denen fünf Unterschriften ausreichen, um eine Auszahlung zu genehmigen. Die Angreifer erhalten die Kontrolle über fünf Schlüssel: vier im Zusammenhang mit Sky Mavis und ein fünfter im Zusammenhang mit Axie DAO.

Diese letzte Validierung durchläuft eine Autorisierungsvorrichtung, die nach einem vorübergehenden Bedarf beibehalten wird. Eine Fazilität, die einmal gewährt wurde, wird zu einer dauerhaften Schwäche. Die scheinbare Trennung zwischen mehreren Wachen ist weniger schützend, wenn der gleiche Zugang einen entscheidenden Teil ihrer Berechtigungen erreichen kann.

Der Vorfall wird entdeckt, wenn die Auszahlungsanforderung eines Benutzers nicht erfüllt werden kann. Die Brücke wird unterbrochen, die Zugänge werden erneut überprüft und das Team leitet Untersuchungen ein. Sky Mavis kündigt dann Verstärkungsmaßnahmen und die Nachlieferung der Brücke an, um die betroffenen Nutzer zu entschädigen.

US-Beamte schreiben den Diebstahl der nordkoreanischen Gruppe Lazarus zu. Die finanzielle Untersuchung folgt den Vermögenswerten, insbesondere wenn sie Dienstleistungen durchlaufen, die dazu bestimmt sind, die Spuren zu verwischen. Zuordnungs- und Wiedereinziehungsbemühungen bedeuten nicht, dass alle gestohlenen Beträge beschlagnahmt wurden.

Ronin zeigt, warum die Anzahl der Unterschriften nur einen Teil der Sicherheit aussagt. Es ist auch notwendig zu sehen, wer diese Signaturen tatsächlich erhalten kann und welche alten Berechtigungen noch verwendbar sind.