اختفى 625 مليون دولار من جسر رونين في 23 مارس 2022. لم يلاحظ أحد ذلك لمدة 6 أيام.
لم تكن لعبة Axie Infinity مجرد لعبة—بل كانت مصدر دخل للغالبية من النقابات الفلبينية. كان رونين بمثابة طريقهم السريع إلى الإيثريوم.
كان الجسر يتطلب توقيعات 5 من 9 لأجهزة التحقق لاعتماد عمليات السحب. بسيط. نظيف.
إلا أن شخصًا ما كان لديه بالفعل 5 مفاتيح.
4 كانت مملوكة لـ Sky Mavis. والمفتاح الخامس؟ مُدقق Axie DAO حصل على وصول مؤقت أثناء ذروة الضغط. لم يتم سحب هذا الوصول.
لم ينكسر الجسر. رأى 5 توقيعات صالحة ونفّذ:
• 173,600 $ETH
• 25.5M $USDC
ثم صمت.
ظلت الأموال دون أن تُلمس لمدة 6 أيام حتى حاول مستخدم سحب 5K $ETH وتعذّر على الجسر معالجته. عندها أدركت Sky Mavis أنهم قد تم تفريغهم.
تتبّعت الـFBI ذلك إلى مجموعة Lazarus—وحدة القرصنة النخبوية في كوريا الشمالية.
كيف كانت نقطة الدخول؟ تمت هندسة المهندس الأول اجتماعيًا عبر عرض عمل مزيف وملف PDF خبيث.
انهارت اقتصاديات Axie بين ليلة وضحاها. خمدت النقابات. جمعت Sky Mavis 150 مليون دولار لتعويض المستخدمين وقامت بإصلاح الجسر عبر إضافة المزيد من أجهزة التحقق.
لكن هذه هي الحقيقة القاسية:
لقد عمل العقد الذكي على أكمل وجه. التزم الجسر بقواعده الخاصة. 5 من 9 مفاتيح فتحت الخزنة.
ولمدة 6 أيام، كانت البلوكشين تصرخ بالحقيقة على السلسلة.
تقريبًا لا أحد كان يراقب.
لم تكن هذه ثغرة في الكود. بل كانت تحفة في الهندسة الاجتماعية كشفت الطبقة البشرية الكامنة خلف كل نظام “غير قائم على الثقة”.
الـMultisigs لا تكون آمنة إلا بقدر أضعف حامل لمفتاح.
لم تكن لعبة Axie Infinity مجرد لعبة—بل كانت مصدر دخل للغالبية من النقابات الفلبينية. كان رونين بمثابة طريقهم السريع إلى الإيثريوم.
كان الجسر يتطلب توقيعات 5 من 9 لأجهزة التحقق لاعتماد عمليات السحب. بسيط. نظيف.
إلا أن شخصًا ما كان لديه بالفعل 5 مفاتيح.
4 كانت مملوكة لـ Sky Mavis. والمفتاح الخامس؟ مُدقق Axie DAO حصل على وصول مؤقت أثناء ذروة الضغط. لم يتم سحب هذا الوصول.
لم ينكسر الجسر. رأى 5 توقيعات صالحة ونفّذ:
• 173,600 $ETH
• 25.5M $USDC
ثم صمت.
ظلت الأموال دون أن تُلمس لمدة 6 أيام حتى حاول مستخدم سحب 5K $ETH وتعذّر على الجسر معالجته. عندها أدركت Sky Mavis أنهم قد تم تفريغهم.
تتبّعت الـFBI ذلك إلى مجموعة Lazarus—وحدة القرصنة النخبوية في كوريا الشمالية.
كيف كانت نقطة الدخول؟ تمت هندسة المهندس الأول اجتماعيًا عبر عرض عمل مزيف وملف PDF خبيث.
انهارت اقتصاديات Axie بين ليلة وضحاها. خمدت النقابات. جمعت Sky Mavis 150 مليون دولار لتعويض المستخدمين وقامت بإصلاح الجسر عبر إضافة المزيد من أجهزة التحقق.
لكن هذه هي الحقيقة القاسية:
لقد عمل العقد الذكي على أكمل وجه. التزم الجسر بقواعده الخاصة. 5 من 9 مفاتيح فتحت الخزنة.
ولمدة 6 أيام، كانت البلوكشين تصرخ بالحقيقة على السلسلة.
تقريبًا لا أحد كان يراقب.
لم تكن هذه ثغرة في الكود. بل كانت تحفة في الهندسة الاجتماعية كشفت الطبقة البشرية الكامنة خلف كل نظام “غير قائم على الثقة”.
الـMultisigs لا تكون آمنة إلا بقدر أضعف حامل لمفتاح.