Việc sử dụng ít nút xác thực, thiếu yếu tố phi tập trung của Sky Mavis tạo cơ hội cho hacker tấn công và lấy đi hơn 600 triệu USD từ cầu nối của Ronin Network.
Việc cầu nối Ronin Bridge bị hacker tấn công, chiếm đoạt hơn 600 triệu USD là một sự kiện lớn của giới làm blockchain và bảo mật Việt Nam. Các chuyên gia của lĩnh vực bảo mật chuỗi khối trong nước chỉ ra có nhiều vấn đề với cầu nối Ronin của Axie Infinity, khiến nó trở thành mục tiêu tấn công của tin tặc.
Ngoài ra, vấn đề bảo mật của các dự án được xây dựng trên nền blockchain đang chưa được quan tâm đúng mức, dẫn đến thiệt hại lớn về tài sản.
Nguyên nhân của vụ hack
Tối 30/3, Liên minh Blockchain Việt Nam tổ chức buổi tọa đàm với các chuyên gia bảo mật, blockchain Việt Nam với chủ đề về vụ hack cầu nối Ronin Network.
Trao đổi về nguyên nhân dẫn đến việc Ronin Bridge bị hacker tấn công, Tiến sĩ Đặng Minh Tuấn, Trưởng Lab Blockchain, Giảng viên Học viện Công nghệ Bưu chính Viễn Thông, cho biết nền tảng Ronin Network của Sky Mavis không mở mã nguồn nên những thông tin có thể khai thác tương đối hạn chế.
Theo ông Tuấn, các giao dịch của Ronin Network sử dụng cơ chế đồng thuận PoA (Proof of Authority) với 9 node (nút). Theo đó, mỗi giao dịch trên hệ thống sẽ được thông qua với 5/9 chấp nhận, cung cấp chữ ký số.
Theo các thông tin được Ronin Network cung cấp, nền tảng đang nghi ngờ hacker đã tấn công vào hệ thống của Sky Mavis để chiếm quyền truy cập 4 node công ty nắm giữ. Node thứ 5 có thể được lấy từ Axie DAO, được Axie cấp quyền để hỗ trợ nền tảng khi lượng giao dịch quá tải.
Ông Ngô Minh Hiếu, (Hiếu PC), chuyên gia kỹ thuật tại Trung tâm Giám sát và An toàn không gian mạng Quốc gia (NCSC) cho rằng hiện tại còn quá sớm để có thể xác định được nguyên nhân chính xác của vụ hack bởi Ronin Network chưa công bố nhiều thông tin. “Vấn đề có thể đến từ hợp đồng thông minh (smart contract), hệ thống hoặc chính từ mối đe dọa nội bộ”, Hiếu PC chia sẻ.
Trong khi đó, ông Trần Xuân Bắc, chuyên gia bảo mật tại VBI cho rằng vì Ronin Network dùng thuật toán đồng thuận PoA với lượng nút xác minh khá ít, với 5/9 để thông qua giao dịch nên dễ bị tấn công hơn. Nền tảng BNB Chain của Binance cùng phương thức đồng thuận sử dụng 21 nút. Trong khi đó, thuật toán PoW (Proof of Work) của Bitcoin hay Ethereum có hàng nghìn nút.
Ngoài ra, tính phi tập trung của Ronin Network không được các chuyên gia đánh giá cao. Theo đó, 6 trên 9 nút xác minh đều thuộc về Sky Mavis hoặc Axie, do đó, khi tin tặc tấn công vào công ty là có thể chiếm xác nhận giao dịch của toàn nền tảng.
Bên cạnh đó, ông Bắc cho rằng còn có sự tắc trách trong bảo mật của Sky Mavis. Bởi việc ủy quyền xác minh cho nút AxieDAO đã ngừng từ tháng 12/2021 nhưng đến nay vẫn chưa được thu hồi. Bổ sung vào ý kiến này, Tiến Sĩ Đặng Minh Tuấn phía Sky Mavis đã chậm trễ trong việc phát hiện lỗi hệ thống.
“Theo thông tin tôi nhận được, vài ngày sau khi hacker thực hiện giao dịch lấy 600 triệu USD, một người dùng gặp lỗi khi không thể rút được lượng ETH lớn từ Ronin và báo cho đội ngũ. Sau đó họ kiểm tra mới phát hiện ra sự cố”, ông Tuấn chia sẻ.
Nguồn: Zing.vn
