LEBIGDATA.FR I.A, Cloud & Cybersécurité
Un hacker est parvenu à voler l'équivalent de 600 millions de dollars sur la blockchain du jeu Axie Infinity. Il s'agit à ce jour du plus grave incident de cybersécurité dans le domaine de la finance décentralisée.
Le Blockchain Gaming est un secteur en plein essor, notamment grâce au succès des NFT et des cryptomonnaies. Malheureusement, de graves problèmes de cybersécurité commencent à survenir.
Près de 625 millions de dollars de cryptomonnaie ont été volés sur Ronin, la Blockchain sur laquelle repose le jeu populaire » Axie Infinity « . Cet incident vient d'être révélé par Sky Mavis, l'entreprise qui gère Ronin et Axie Infinity. Les transactions ont été gelées temporairement sur la passerelle Ronin qui permet de déposer et de retirer des fonds sur la Blockchain.
À l'heure actuelle, Sky Mavis coopère avec les autorités pour renter de récupérer 173 600 Ethereum (soit approximativement 600 millions de dollars au cours actuel) et 25,5 millions de USDC (une cryptomonnaie adossée au dollar américain). Ces fonds ont été retirés du réseau par le hacker le 23 mars 2022.
L'attaque s'est focalisée sur la passerelle du la blockchain Ronin, faisant office d'intermédiaire entre Axie Infinity et les autres blockchains de cryptomonnaie comme Ethereum. Les utilisateurs pouvaient déposer de l'Ethereum ou de l'USDC sur Ronin, puis acheter des objets NFT ou de la monnaie virtuelle pour le jeu. Il était aussi possible de vendre des objets dans le jeu et de retirer l'argent.
Le hacker a pris le contrôle de cinq noeuds de validation sur huit
Selon Sky Mavis, le cybercriminel a utilisé des clés de sécurité privées pour compromettre les noeuds du réseau et valider les transferts vers et en provenance de la Blockchain. Ceci a permis à l'attaquant de retirer de larges quantités d'Ethereum et d'USDC en toute tranquillité. Le transfert vient d'être découvert aujourd'hui, près d'une semaine plus tard, lorsqu'un autre utilisateur a tenté de retirer 5000 Ethereum via la passerelle.
Les noeuds de validation sont une caractéristique des blockchains de type proof-of-stake comme Ronin. Ces chaînes consomment généralement moins d'énergie que les systèmes proof-of-work comme Bitcoin ou Ethereum.
Les noeuds passent en revue chaque nouvelle transaction pour confirmer que les entrées et sorties correspondent et que les signatures d'autorisation soient valides. Les transactions non conformes non automatiquement rejetées.
L'utilisation d'un petit nombre de noeuds est plus rapide et plus efficace, mais peut créer des risques de sécurité si une majorité de noeuds est compromise. C'est ce que prouve ce piratage. Il s'agit d'une vulnérabilité potentielle pour les blockchains présentées comme moins chères et plus écologiques que l'Ethereum.
Cette attaque sur la blockchain Ronin a été rendue possible en partie à cause d'un raccourci que l'entreprise avait pris pour soulager » une immense charge utilisateur « sur son réseau en novembre 2021. En effet, la popularité d'Axie Infinity a explosé aux Philippines et dans d'autres pays où les joueurs pratiquent ce jeu comme un emploi à temps plein.
Le système a été supprimé en décembre 2021, mais les permissions qu'il octroyait n'ont jamais été révoquées. Après avoir compromis les quatre noeuds de Sky Mavis, le hacker les a exploités pour obtenir l'accès à un noeud géré par le Axie DAO. En compromettant cinq des neuf noeuds de validation, l'attaquant a donc pu contourner le système de sécurité des transactions et retirer autant de fonds qu'il le souhaitait.
Suite à cet incident, Sky Mavis va augmenter le nombre de noeuds requis à huit. La passerelle Ronin ouvrira de nouveau ultérieurement, lorsqu'il sera certain que davantage de fonds ne puissent plus être drainés.
Axie Infinity temporairement fermé aux nouveaux joueurs
Toujours selon la firme, les tokens NFT » axie « que les joueurs doivent acheter pour accéder au jeu n'ont pas été compromis. Il en va de même pour les cryptomonnaies SLP et AXS utilisées dans le jeu pour les combats et pour élever de petites créatures dénommées axolotls inspirées par les Pokemon.
Néanmoins, le gel des retraits et des dépôts empêche les nouveaux joueurs de commencer l'aventure. Le sort des fonds des autres utilisateurs sur la blockchain Ronin est aussi remis en question par ce hack.
Afin de s'assurer que ces fonds ne disparaissent pas, Sky Mavis coopère actuellement avec des cryptographes, avec les autorités et avec les investisseurs. Il s'agit d'une priorité absolue pour l'entreprise.
Cette faille de sécurité se présente comme le plus grand piratage des réseaux de finance décentralisée à ce jour. Auparavant, le record était détenu par le protocole de passerelle Wormhole sur lequel ont été volés 322 millions de dollars en février 2022.
- Partager l'article :
