Hacker trộm hơn 600 triệu USD từ blockchain của game NFT Axie Infinity

Sky Mavis đã thông báo về vụ đánh cắp tiền mã hóa này ngày 29/3 và đóng băng mọi giao dịch trên blockchain Ronin. Studio này đang làm việc với cơ quan thực thi pháp luật để thu hồi 173.600 Ethereum và 25,5 triệu USDC sau khi hacker lấy số tiền này ngày 23/3 vừa qua. Với giá trị hơn 600 triệu USD, đây là vụ tấn công lớn thứ 2 liên quan đến tiền mã hóa. 

Theo Sky Mavis, kẻ tấn công đã sử dụng khóa bảo mật riêng bị lấy trộm để xâm nhập hệ thống node kiểm định giao dịch đi và đến blockchain Ronin, qua đó lặng lẽ rút lượng lớn Ethereum và USDC. Vụ tấn công này chỉ bị phát hiện ngày 29/3 sau khi một người dùng khác thông báo không rút được 5000 Ethereum từ Ronin. 

Sky Mavis cho biết các token NFT dưới dạng thú ảo “axie” mà người chơi phải mua để chơi game Axie Infinity không bị đánh cắp; các loại tiền mã hóa SLP và AXS được dùng trong game cũng chưa bị chạm đến. 

Tuy nhiên, việc đóng băng rút và nạp tiền đã “khóa” nhiều người chơi mới khỏi game, đồng thời khiến nhiều người dùng blockchain Ronin băn khoăn về số tiền mình đã đầu tư vào đây. Sky Mavis cho biết việc thu hồi tiền của người dùng hiện đang là “ưu tiên hàng đầu” của studio.  

Vụ tấn công này có thể diễn ra một phần do giải pháp “đường tắt” mà Sky Mavis sử dụng để đối phó với lượng người dùng cao trên Ronin vào tháng 11/2021, sau khi game Axie Infinity trở nên nổi tiếng và thu hút nhiều người chơi, đặc biệt tại Philippines. Giải pháp này không còn được dùng vào tháng 12/2021, nhưng quyết định cấp phép đối với giải pháp chưa được thu hồi. 

Node kiểm định là một tính năng của các blockchain proof-of-stake (đặt cọc để xác minh) như Ronin. Các node này đánh giá giao dịch mới để kiểm định đầu ra, đầu vào và chữ ký xác minh là đúng, đồng thời loại bỏ các giao dịch không đúng. Việc Sky Mavis sử dụng số lượng node ít hơn có thể giúp hệ thống nhanh và hiệu quả hơn, nhưng cũng gây ra rủi ro về bảo mật. 

Trong thông báo chính thức được đưa ra, Sky Mavis và Ronin cho biết: “Như chúng ta đã thấy, Ronin không phải là không thể bị thâm nhập. Vụ tấn công này đã củng cố tầm quan trọng của việc ưu tiên bảo mật, duy trì cảnh giác và giảm nhẹ mọi mối đe dọa… Chúng tôi biết lòng tin cần được chứng minh và hiện đang dùng mọi nguồn lực có thể để có các biện pháp và quy trình bảo mật cao cấp nhất nhằm ngăn ngừa các vụ tấn công trong tương lai”.

Tùng Phong (Theo The Verge)