提起 Axie Infinity 這款區(qū)塊鏈游戲，許多人可能感到陌生，但如果說(shuō)其單日收入可與《王者榮耀》爭(zhēng)鋒，想必大家就對(duì)這款鏈游的熱門(mén)程度“有數(shù)”了——不過(guò)，它的輝煌并沒(méi)有持續(xù)太久。

去年年中開(kāi)始，主打“邊玩邊賺”（Play-to-Earn）的 Axie Infinity 可謂是風(fēng)光無(wú)兩，其通過(guò)游戲賺取加密貨幣的方式一時(shí)之間吸引了諸多玩家，日活用戶(hù)數(shù)更是在 11 月達(dá)到峰值。

但緊接著，這款游戲便進(jìn)入“下滑期”，整體收入和日活用戶(hù)數(shù)量飛速下降，今年 3 月遭遇了 DeFi（Decentralized Finance，即去中心化金融）史上最大的黑客攻擊更是“雪上加霜”：3 月 29 日，Axie Infinity 被黑客使用破解的私鑰來(lái)偽造假提款，造成了約 6.25 億美元（17.36 萬(wàn)枚以太坊和 2550 萬(wàn) USDC）的損失。

(資料圖片僅供參考)

當(dāng)時(shí)，Axie Infinity 的游戲開(kāi)發(fā)商 Sky Mavis 表示此次攻擊是通過(guò)網(wǎng)絡(luò)釣魚(yú)計(jì)劃實(shí)現(xiàn)的，政府方面則認(rèn)定是由黑客組織 Lazarus 發(fā)起的，但二者均未披露有關(guān)這起事件的相關(guān)細(xì)節(jié)。

如今三個(gè)月過(guò)去了，這起黑客攻擊事件的源頭終于有所眉目：據(jù)外媒 The Block 報(bào)道，這一切源于一名 Axie Infinity 高級(jí)工程師收到了由黑客組織偽裝的招聘公司所提供的一份假 Offer。

假 Offer 中夾雜著間諜軟件

正如開(kāi)頭所說(shuō)，Axie Infinity 曾在去年 11 月達(dá)到頂峰：擁有 270 萬(wàn)日活躍用戶(hù)，每周交易量高達(dá) 2.14 億美元?；蛟S是由于此后游戲熱度的驟減動(dòng)搖了 Axie Infinity 背后 Sky Mavis 開(kāi)發(fā)團(tuán)隊(duì)的信心，總之黑客趁機(jī)向一名 Sky Mavis 高級(jí)工程師（以下用 E 代稱(chēng)）拋出了“誘餌”。

今年年初，黑客組織偽裝成一所假公司，通過(guò)職業(yè)社交網(wǎng)站 LinkedIn 向 E 發(fā)送招聘廣告，邀請(qǐng) E 來(lái)他們的公司工作（實(shí)際上，這家公司并不存在）。

毫無(wú)察覺(jué)的 E 上鉤了，經(jīng)過(guò)多輪面試后，E 看似獲得了一份薪酬極其豐厚的工作，黑客組織按照正常的招聘流程通過(guò) PDF 向 E 發(fā)送了一份 Offer，E 也下載了——然而，這份 Offer 中隱藏著可以入侵到 Ronin 系統(tǒng)的間諜軟件。

準(zhǔn)確來(lái)說(shuō)，遭到黑客攻擊的就是 Sky Mavis 專(zhuān)為 Axie Infinity 設(shè)計(jì)的以太坊側(cè)鏈 Ronin。對(duì)許多 Axie Infinity 玩家而言，他們通常并不只在一個(gè)區(qū)塊鏈生態(tài)系統(tǒng)中運(yùn)作，為此 Sky Mavis 開(kāi)發(fā)了跨鏈橋 Ronin Bridge，允許玩家將以太坊或 USDC 存入 Ronin，用其購(gòu)買(mǎi)非同質(zhì)化代幣（NFT）或游戲內(nèi)貨幣，也可以出售其游戲內(nèi)的資產(chǎn)并提取資金。

黑客通過(guò)發(fā)給 E 的假 Offer 入侵了 Ronin 系統(tǒng)，控制了其中 4 個(gè)驗(yàn)證器節(jié)點(diǎn)。而 Ronin 鏈由 9 個(gè)驗(yàn)證器節(jié)點(diǎn)組成，識(shí)別存取款事件需要得到其中 5 個(gè)節(jié)點(diǎn)的簽名，于是黑客便設(shè)法獲取了 Axie DAO 驗(yàn)證器的簽名。

Ronin 事后對(duì)此的解釋為：2021 年 11 月 Sky Mavis 的用戶(hù)負(fù)載巨大，因此請(qǐng)求了 Axie DAO 的幫助，Axie DAO 允許 Sky Mavis 代表其簽署各種交易。雖然這項(xiàng)合作于 2021 年 12 月停止，但未撤銷(xiāo)許可名單訪(fǎng)問(wèn)權(quán)限。

因此，簡(jiǎn)單概括整個(gè)流程就是：黑客通過(guò)假 Offer 中的間諜軟件控制了 4 個(gè) Ronin 驗(yàn)證器節(jié)點(diǎn)后，又利用 RPC 節(jié)點(diǎn)的后門(mén)獲取了 Axie DAO 的簽名，由此實(shí)現(xiàn)掌控 5 個(gè)節(jié)點(diǎn)簽名，最終實(shí)現(xiàn)資產(chǎn)盜竊。

Ronin Bridge 已于 6 月 28 日重新開(kāi)放

根據(jù) 3 月 29 日 Ronin 發(fā)布的公告來(lái)看，黑客早在 3 月 23 日就兩次利用 Ronin Bridge 竊取了 17.36 萬(wàn)枚以太坊，以及價(jià)值超 2550 萬(wàn)美元的 USDC。但直到 3 月 29 日有玩家投訴無(wú)法從 Ronin 中提取 5000 枚以太坊之后，Ronin 才發(fā)現(xiàn)其驗(yàn)證器節(jié)點(diǎn)和 Axie DAO 驗(yàn)證器節(jié)點(diǎn)已遭到破壞。

在 Sky Mavis 于 4 月 27 日發(fā)布的關(guān)于黑客攻擊的博客文章中，也隱晦提到了攻擊源頭：“員工不斷受到各種社交渠道的網(wǎng)絡(luò)釣魚(yú)攻擊，其中一名員工遭到入侵，目前這名員工已不在 Sky Mavis 工作。攻擊者設(shè)法利用該員工的訪(fǎng)問(wèn)權(quán)限來(lái)滲透 Sky Mavis 的 IT 基礎(chǔ)設(shè)施并獲得對(duì)驗(yàn)證節(jié)點(diǎn)的訪(fǎng)問(wèn)權(quán)限?！?/p>

因此當(dāng)時(shí) Sky Mavis 表示，已將其驗(yàn)證節(jié)點(diǎn)數(shù)增加到 11 個(gè)，之后的長(zhǎng)期目標(biāo)是希望能拓展到 100 多個(gè)。

截止目前，Ronin Bridge 已于 6 月 28 日起重新開(kāi)放，意味著 Axie Infinity 玩家可以從他們的游戲賬戶(hù)中存取資金，同時(shí)為了防止類(lèi)似攻擊的再次發(fā)生，Ronin Bridge 接受了兩家知名區(qū)塊鏈安全公司 Verichains 和 Certik 的內(nèi)部審計(jì)和檢查。此外，Sky Mavis 也表示會(huì)補(bǔ)償受本次事件影響的用戶(hù)，承諾向其返還丟失的資產(chǎn)。

網(wǎng)友：“完全是員工的錯(cuò)嗎？”

對(duì)于 The Block 所報(bào)道的這場(chǎng)黑客攻擊的源頭解說(shuō)，許多網(wǎng)友從不同角度發(fā)表了自己的見(jiàn)解。

“主要有兩點(diǎn)要強(qiáng)調(diào)：

（1）LinkedIn 絕對(duì)是壞人的極好幫手，它可以輕易地用釣魚(yú)郵件和短信攻擊公司里的每個(gè)人。我知道許多安全專(zhuān)家在 LinkedIn 都不用他們的真名，也不透露其公司的名稱(chēng)，因?yàn)樗麄冎肋@是一個(gè)很好的黑客載體。

（2）我希望有更多關(guān)于 PDF 中漏洞的信息。我想很多人會(huì)對(duì)從陌生人那里下載 PDF 文件持謹(jǐn)慎態(tài)度，但對(duì)方如果是一個(gè)面試過(guò)多次、并給了你一份工作的人，情況可能就不是這樣了?！?/p>有人認(rèn)為以太坊的安全性被炒作得過(guò)了頭：

“正如本文所說(shuō)的那樣，這個(gè)系統(tǒng)的安全保證遠(yuǎn)遠(yuǎn)弱于以太坊共識(shí)協(xié)議。但這個(gè)系統(tǒng)被那些無(wú)視這一基本事實(shí)的騙子們炒作到了極點(diǎn)，還對(duì)安全性和穩(wěn)定性提出了荒謬的說(shuō)法。

基本上來(lái)說(shuō)，以太坊被炒作為‘智能合約’平臺(tái)?？梢坏┲悄芎霞s做了除基本轉(zhuǎn)賬以外的任何事情，它就需要一個(gè)‘驗(yàn)證器’。但也就因?yàn)椤膀?yàn)證器”的存在，安全性才大大降低。在這種顯而易見(jiàn)的問(wèn)題下，這樣的惡作劇還會(huì)繼續(xù)發(fā)生?！?/p>也有人指責(zé) Sky Mavis 將事故問(wèn)題推到員工身上：

“另一個(gè)導(dǎo)致攻擊事件的原因難道不是為什么這個(gè)開(kāi)發(fā)者擁有 5 個(gè)簽名密鑰嗎？這根本不應(yīng)該發(fā)生，因?yàn)檫@樣的話(huà)這個(gè)開(kāi)發(fā)者豈不是也有機(jī)會(huì)帶著 6.25 億美元逃逸？公司不應(yīng)該把錯(cuò)誤完全賴(lài)在員工頭上。”

參考鏈接：

https://www.theblock.co/post/156038/how-a-fake-job-offer-took-down-the-worlds-most-popular-crypto-game

https://news.ycombinator.com/item?id=32001742

關(guān)鍵詞： 黑客攻擊 間諜軟件 高級(jí)工程師