2024-08-07
内容目录
Ronin 又出包，创办人称可能遭遇 MEV 攻击
一代成功链游 Axie Infinity 与其区块链 Ronin 创办人突发消息表示，因白帽通知漏洞，Ronin 跨链桥停止运行，因可能受到 MEV 攻击。Ronin 之前被北韩黑客骇 6 亿美金，导致无人问津，让它已经夕落西山的 Axie Infinity 也更加寂寥，今又再出现资安漏洞，恐怕是更难东山再起。
(Axie Infinity侧链Ronin经历黑客事件后，官方跨链桥今恢复存提)
The @Ronin_Network bridge has been paused while we investigate a report from whitehats about a potential MEV exploit.
— Psycheout.ron (@Psycheout86) August 6, 2024
We will follow up with more information shortly.
The bridge currently secures over $850M which is safe https://t.co/lUjIIgb1DD
资安团队分析原因
资安团队慢雾 (SlowMist) 表示，因为由于 Ronin 合约中权重值 (weight)，被改成无预期之数值，导致资金可以在不须通过多签同意下被转移。
广告 - 内文未完请往下卷动
Due to the weights being modified to unexpected values, funds can be withdrawn without going through any multisig threshold checks. https://t.co/fkYA7yCTIw pic.twitter.com/J0v4ybWYNv
— SlowMist (@SlowMist_Team) August 6, 2024
开发者 Bing 评论，签名总权重是 0，随便拿别人的签名都可以过。他表示：
- 是三小时前更新的合约
- initialized 和 upgrade 不知道什么原因放反了
- 黑客两个小时就找到问题 活该赚钱
这波 @Ronin_Network 操作有点骚
— DegenBing.eth | Buji DAO (@DegenBing) August 6, 2024
签名总权重是0 (忘记设置?)
随便拿别人的签名都可以过
重点是七天了没人发现 甚至在etherscan上面都能看见这个bug
4000E 擦身而过
啊啊啊啊啊啊啊啊啊啊 https://t.co/rH3ehgKKnb pic.twitter.com/VWG1kYxwaZ
黑客归还资产，跨链桥将再开
Ronin 表示已收到归还的 ETH 约一千万美金，希望 USDC 部分也可以被归还。将会奖励白帽黑客 50 万奖金。跨链桥会再次接受审计后，才会重新打开服务。
Update:
— Ronin (@Ronin_Network) August 6, 2024
The ETH (~$10 M) has been returned and we expect that the USDC will be returned later today. We thank the white hats for their vigilance and integrity. The Bug Bounty Program will reward the white hats with a 500 K bounty.
The bridge will undergo an audit before it is…
