（本稿は速報体制で記述されているため、一部内容に重複した記述があります。ご了承ください。）

Sky Mavis は、同社のゲーム「Axie Infinity」ゲームを支える Ronin Network がハッキングされ、イーサリアム17万3,600ETH（5億9,460万米ドル相当）と米ドル2,550万米ドル、合計6億2,000万米ドルが盗まれたと報告した。

ブロックチェーンゲーム Axie Infinity のメーカーである Sky Mavis が資金を回収できないとすれば、それは同社の財政全体に大きな打撃を与え、ブロックチェーンベースのセキュリティにとって黒星となる。ゲームをブロックチェーン上に置く上での要であることのポイント（この場合 Layer 2ネットワークの「Ronin Network」に、より優れたセキュリティを求められるからだ。

Ronin Bridge と Katana Dex の取引は停止された。今のところ、ネットワーク上に資金を蓄えているプレイヤーは、その資金に今すぐアクセスできないことを意味する。盗まれた資金は、Sky Mavis とそ Axie Infinity 分散型自律組織（DAO）の保有する資産の一部に過ぎない。

我々は、法執行当局、フォレンジック暗号解読者、投資家と協力して、すべての資金が回収または払い戻されるように努めている。Ronin の AXS、RON、SLP のすべては今、安全だ。（Sky Mavis の声明）

今回のハッキングは、少なくとも Comparitech のデータによれば、仮想通貨史上最大のハッキングの1つとみなされる可能性が高いだろう。

同社によると、Ronin Network 自体にセキュリティ侵害があったとのことだ。29日未明、同社は3月23日に Sky Mavis の Ronin バリデータノードと Axie DAO バリデータノードが侵入を受け、2つの取引で Ronin Bridge から17万3,600ETH（現時点では5億9,460万ドルに相当）と2,550万ドルが流出したことを発見した。

今のところ、盗まれた仮想通貨は攻撃を行ったアカウントから送金されていないとのことだ。

バリデータノードは、ブロックチェーンの情報が正確であることを確認するために、ブロックチェーンの情報を検証し、互いのメモを比較する外部エンティティだ。ブロックチェーンとは、安全で透明性の高いデジタル台帳である（と考えられている）もので、イーサリアムはこの技術に基づく最大のネットワークの1つである。イーサリアムは、ブロックチェーンのプロトコルであると同時に、そのプロトコルに基づく仮想通貨の名前でもある。

Sky Mavis は、ブロックチェーンを利用して、NFT（非代替性トークン）の一意性を検証し、Axie Infinity で使用する Axie Creature などのデジタルアイテムを一意に認証することができる。NFT は昨年爆発的な人気を博し、 ky Mavis が10月に30億米ドルの評価額で1億5,200万米ドルを調達することを可能にした。しかし、ブロックチェーンゲームは、ねずみ講や rug pull（DeFi におけるプール持ち逃げ詐欺）、その他の種類の反消費者詐欺に満ちているという批判があり、現在、業界の火種にもなっている。

イーサリアムには欠点もある。イーサリアム上での取引は、検証作業に世界中の多くのコンピュータを使うため、速度が遅く、多くのエネルギーを消費するからだ。それを緩和するために、 Sky Mavis のような企業は、Ronin Network のようなレイヤー2 ソリューションを作った。このネットワークは、イーサリアム自体で取引を行うよりもはるかに速く、安価に、そして環境への影響を小さくして取引を実行することができる。

しかし、このオフチェーン処理には Sky Mavis が学んだようにリスクが伴う。Sky Mavis は Ronin Network で取引を検証するためにコンピューティングノードのネットワークを設置したが、ハッカーがそのネットワークを51％支配することができれば、偽の取引を作成し、ネットワークに保存されている資金を盗むことができる。

Sky Mavis によると、攻撃者は偽の引き出しを偽造するために、ハッキングされた秘密鍵を使用したという。Sky Mavis は、29日朝、Ronin Bridge から5,000ETHを引き出せないというユーザからの報告を受けて、この攻撃を発見したと述べている。

攻撃についての詳細

Sky Mavis の Ronin チェーンは、現在9つのバリデータノードで構成されている。入金イベントや出金イベントを認識するためには、9つのバリデータのうち5つの署名が必要だ。攻撃者は、Sky Mavis の4つの Ronin バリデータと Axie DAO が運営するサードパーティバリデータの制御を得ることに成功したのだ。

バリデータ鍵方式は分散型に設定されているため、今回と同様に攻撃のベクトルが制限されるが、攻撃者は Sky Mavis のガス抜き RPC ノードからバックドアを見つけ、それを使って Axie DAO バリデータ用の署名を入手した。

これは2021年11月、Sky Mavis が膨大なユーザ負荷のため、Axie DAO に無料トランザクションの配布の協力を要請したことにさかのぼる。Axie DAO は、上場している Sky Mavis に様々なトランザクションの署名を代行させた。これは2021年12月に中止されたが、許可リストのアクセスは取り消されまなかった。

攻撃者が Sky Mavis のシステムにアクセスすると、Axie DAO のバリデータからガス抜き RPC を使用して署名を取得することができた。悪意のある引き出しの署名が、疑いのある5つのバリデータと一致することを確認した。（Sky Mavis）

実施された措置

Sky Mavis は、この事件が判明した時点で迅速に対応し、今後の攻撃に対する防御策を積極的に講じていると述べている。短期的な被害を防ぐため、同社はバリデーターの基準値を5から8に引き上げた。

我々は主要な取引所のセキュリティチームと連絡を取り合っており、今後数日のうちにすべての取引所に連絡を取る予定だ。我々は、古いインフラから完全に分離されたノードを移行している最中だ。（Sky Mavis）

同社はまた、これ以上の攻撃ベクトルが残っていないことを確認するために、Ronin Bridge を一時的に停止した。Binance（幣安）はまた、Ronin との間のブリッジを無効にし、慎重を期している。このブリッジは、これ以上資金が流出しないことが確認されれば、後日開放される予定だ。

Sky Mavis も、裁定取引と Ronin Network へのより多くの資金の預け入れができないため、Katana DEX を一時的に無効にしている。そして、ブロックチェーン上のトランザクションを追跡することができるため、盗まれた資金を監視するために Chainalysis と連携している。

次のステップ

同社は、犯罪者が裁かれるように、さまざまな政府機関と直接連携しているという。

Axie Infinity / Sky Mavis の関係者と、どのように前進するのが最善で、ユーザの資金が失われないようにするかについて話し合っている最中だ。（Sky Mavis）

もともとSky Mavisは、一部のノードがチェーンに追いつかなかったり、同期状態で止まってしまったりすることから、バリデーターの基準値を9のうちの5に設定していた。今後は、9のうちの8を基準値とする予定だ。同社は、時間をかけて、迅速なスケジュールでバリデータ・セットを拡大していく予定だ。

ハッキングされた資金の大半は、まだハッカーとされる人物のウォレットにある。

https://etherscan.io/address/0x098b716b8aaf21512996dc57eb0615e2383e2f96

更新：グローバルな仮想通貨インテリジェンス・コンプライアンス企業  Blockchain Intelligence Group は現在、資金は別の場所に移動され、それを追跡していると述べている。以下はその詳細だ。

取引所に送られた資金
FTX（取引所）：1,219.982731106253ETH
Crypto（取引所）：1ETH
Huobi（取引所）：3,750 ETH
これまでに4,970ETH（169億3,167万2,478米ドル相当）がすでに取引所に移動している。4つのアドレスの未使用資金も同様に移動する可能性がある。そして、これらのアドレスの未使用額の合計は177,192.66ETH。

Sky Mavis は、なぜこのようなことが起こったのかを正確に把握している。

この攻撃により、セキュリティを優先し、警戒を怠らず、すべての脅威を軽減することの重要性が強化された。我々は信頼を得る必要があることを理解しており、今後の攻撃を防ぐために、最も高度なセキュリティ対策とプロセスを展開するために、自由に使えるすべてのリソースを使用している。（Sky Mavis）

同社によると、Ronin の ETH と USDC の預金は、ブリッジ契約から流出したという。Sky Mavis は、法執行機関、フォレンジック暗号解読者、投資家と協力し、ユーザ資金の損失がないことを確認していると述べた。Ronin 上の AXS、RON、SLP のすべては今、安全であるという。

今現在、ユーザはRonin Networkに資金を引き出したり、入金したりすることができない。Sky Mavis は、流出した資金がすべて回収されるか、払い戻されるように努めている。（Sky Mavis）

【via VentureBeat】 @VentureBeat

【原文】