Ronin: nueve guardias, pero cinco llaves son suficientes para llevarse el tesoro

El 23 de marzo de 2022, dos retiros sacaron 173.600 éteres y 25.5 millones de USDC del Puente Ronin, utilizado por el ecosistema Axie Infinity. Su valor es del orden de $600 millones dependiendo de la fecha y el precio seleccionado. La intrusión no se hizo pública hasta varios días después.

Un puente retiene activos en una red para permitir su uso en otra. Ronin luego depende de nueve validadores, cinco de cuyas firmas son suficientes para aprobar un retiro. Los atacantes obtienen el control de cinco claves: cuatro relacionadas con Sky Mavis y una quinta asociada con Axie DAO.

Esta última validación pasa por un dispositivo de autorización retenido después de una necesidad temporal. Una instalación una vez concedida se convierte en una debilidad duradera. La aparente separación entre varios guardias es menos protectora si el mismo acceso puede alcanzar una parte decisiva de sus permisos.

El incidente se descubre cuando la solicitud de retiro de un usuario no se puede cumplir. El puente se interrumpe, los accesos se vuelven a examinar y el equipo inicia las investigaciones. Sky Mavis luego anuncia medidas de refuerzo y el reabastecimiento del puente para compensar a los usuarios afectados.

Funcionarios estadounidenses atribuyen el robo al grupo norcoreano Lazarus. La investigación financiera sigue los activos, en particular cuando pasan a través de servicios destinados a difuminar los rastros. Los esfuerzos de atribución y recuperación no significan que se hayan incautado todas las cantidades robadas.

Ronin muestra por qué el número de firmas solo le dice a una parte de la seguridad. También es necesario ver quién puede realmente obtener estas firmas y qué permisos antiguos todavía se pueden usar.