Ronin: nove guardie, ma bastano cinque chiavi per portare via il tesoro

Il 23 marzo 2022, due prelievi hanno eliminato 173.600 eteri e 25,5 milioni di USDC dal ponte Ronin, utilizzato dall'ecosistema Axie Infinity. Il loro valore è nell'ordine di $ 600 milioni a seconda della data e del prezzo selezionato. L'intrusione non è stata resa pubblica fino a diversi giorni dopo.

Un ponte mantiene le risorse su una rete per consentire loro di essere utilizzati su un'altra. Ronin si affida quindi a nove validatori, cinque dei quali sono sufficienti per approvare un ritiro. Gli aggressori ottengono il controllo di cinque chiavi: quattro relative a Sky Mavis e un quinto associato ad Axie DAO.

Quest'ultima convalida passa attraverso un dispositivo di autorizzazione mantenuto dopo un'esigenza temporanea. Una struttura una volta concessa diventa una debolezza duratura. La separazione apparente tra più guardie è meno protettiva se lo stesso accesso può raggiungere una parte decisiva delle loro autorizzazioni.

L'incidente viene scoperto quando la richiesta di prelievo di un utente non può essere soddisfatta. Il ponte viene interrotto, gli accessi vengono riesaminati e il team inizia le indagini. Sky Mavis annuncia quindi misure di rinforzo e il rifornimento del ponte per compensare gli utenti interessati.

I funzionari statunitensi attribuiscono il furto al gruppo nordcoreano Lazzaro. L’indagine finanziaria segue le attività, in particolare quando passano attraverso servizi destinati a offuscare le tracce. Gli sforzi di attribuzione e recupero non significano che tutti gli importi rubati siano stati sequestrati.

Ronin mostra perché il numero di firme dice solo una parte della sicurezza. È anche necessario guardare a chi può effettivamente ottenere queste firme e quali vecchie autorizzazioni sono ancora utilizzabili.