Allinstation 
Dựa theo thông tin được công bố trên kênh Discord chính thức của Axie Infinity và Twitter của Ronin Network, cầu nối Ronin và Katana Dex đã phải tạm dừng hoạt động sau khi bị khai thác lỗ hổng, lấy đi 173,600 Ethereum (ETH) và 25.5 triệu USD Coin (USDC).
Lượng tài sản này có giá trị lên đến 612 triệu USD tính theo giá hôm thứ Ba. Các nhà phát triển đã có những động thái nhất định khi tuyên bố rằng họ “hiện đang làm việc với các quan chức thực thi pháp luật, các nhà mật mã pháp y và các nhà đầu tư để đảm bảo rằng tất cả các khoản tiền sẽ được phục hồi hoặc hoàn trả. Tất cả lượng AXS, RON và SLP trên Ronin hiện vẫn đang an toàn.”
The Ronin bridge has been exploited for 173,600 Ethereum and 25.5M USDC.
The Ronin bridge and Katana Dex have been halted.
— Ronin (@Ronin_Network) March 29, 2022
Các nhà phát triển của Ronin cho biết, kẻ tấn công đã sử dụng private key bị hack để thực hiện việc rút tiền giả, rút tiền từ cầu nối Ronin chỉ trong đúng hai giao dịch. Đáng chú ý là, vụ hack xảy ra vào ngày 23 tháng 3 nhưng chỉ được phát hiện vào thứ Ba vừa rồi sau khi một người dùng phát hiện ra vấn đề khi không thể rút được 5,000 ETH từ cầu nối Ronin. Vào thời điểm thông tin được công bố, RON, token quản trị chính của Ronin, đã hứng chịu sự sụt giảm 20% xuống 1,88 USD chỉ trong vòng 1 tiếng đồng hồ.
Ronin của Sky Mavis hiện bao gồm 9 node validator, trong đó cần ít nhất 5 chữ ký để xác thực quá trình gửi hoặc rút tiền. Kẻ tấn công đã kiểm soát được 5 private key, bao gồm 4 validator Ronin của Sky Mavis và một validator được quản lý bởi bên thứ ba là Axie DAO. Để có quyền truy cập trái phép vào validator thuộc bên thứ ba là một quá trình tốn nhiều thời gian, chứng tỏ rằng lỗ hổng này không phải chỉ mới xuất hiện.
Vào cuối tháng 11 năm ngoái, Sky Mavis, nhà phát triển hệ sinh thái Axie Infinity và Ronin, đã yêu cầu sự trợ giúp từ Axie DAO để cung cấp các giao dịch miễn phí do số lượng người dùng trên các nền tảng này tăng đột biến. Khi đó, Axie DAO đã đưa Sky Mavis vào “danh sách trắng” (whitelist) để thay mặt họ ký các giao dịch khác nhau. Mặc dù quá trình này đã bị dừng lại vào tháng 12 nhưng quyền truy cập vào danh sách vẫn chưa bị thu hồi.
Sau khi kẻ tấn công có được quyền truy cập vào hệ thống của Sky Mavis, chúng đã có được chữ ký cuối cùng từ validator của Axie DAO, đủ điều kiện để thực hiện việc rút tiền trái phép từ Ronin. Tại thời điểm công bố, hầu hết các khoản tiền bị đánh cắp vẫn nằm trong ví của kẻ tấn công.
