Ronin : neuf gardiens, mais cinq clés suffisent pour emporter le trésor

Le 23 mars 2022, deux retraits font sortir 173 600 ethers et 25,5 millions d’USDC du pont Ronin, utilisé par l’écosystème d’Axie Infinity. Leur valeur est de l’ordre de 600 millions de dollars selon la date et le cours retenus. L’intrusion n’est rendue publique que plusieurs jours plus tard.

Un pont conserve des actifs sur un réseau pour permettre leur usage sur un autre. Ronin repose alors sur neuf validateurs, dont cinq signatures suffisent pour approuver un retrait. Les attaquants obtiennent le contrôle de cinq clés : quatre liées à Sky Mavis et une cinquième associée à Axie DAO.

Cette dernière validation passe par un dispositif d’autorisation conservé après un besoin temporaire. Une facilité autrefois accordée devient une faiblesse durable. La séparation apparente entre plusieurs gardiens protège moins bien si un même accès peut atteindre une partie décisive de leurs autorisations.

L’incident est découvert lorsqu’une demande de retrait d’un utilisateur ne peut pas être satisfaite. Le pont est interrompu, des accès sont réexaminés et l’équipe engage des investigations. Sky Mavis annonce ensuite des mesures de renforcement ainsi que le réapprovisionnement du pont pour indemniser les utilisateurs concernés.

Les autorités américaines attribuent le vol au groupe nord-coréen Lazarus. L’enquête financière suit les actifs, notamment lors de leur passage par des services destinés à brouiller les traces. L’attribution et les efforts de récupération ne signifient pas que toutes les sommes volées ont été saisies.

Ronin montre pourquoi le nombre de signatures ne raconte qu’une partie de la sécurité. Il faut aussi regarder qui peut réellement obtenir ces signatures, et quelles anciennes permissions sont encore utilisables.