Axie Infinity bị hack như thế nào?

Axie Infinity là một game block chain nổi tiếng do người Việt Nam phát triển, ở đây là Studio Sky Mavis với CEO là Nguyễn Thành Trung. Tựa game này đã có vốn hoá lên đến hàng tỷ đô và đang nằm top đầu thế giới trong lĩnh vực gamefi.

Để hiểu hơn về Axie Infinity mọi người có thể tham khảo tại đây.

Axie Infinity do Nguyễn Thành Trung làm CEO

Vào ngày 29/3, Ronin Network (RON), một blockchain phụ (sidechain) được Sky Mavis xây dựng để làm cầu nối với mạng Ethereum (nền tảng công nghệ phi tập trung cho phép người dùng chuyển tiền mã hoá thông qua mạng blockchain), nhằm phục vụ cho sự phát triển của trò chơi. Việc này giúp khắc phục tình trạng giảm các phí giao dịch đồng tiền trong game, hay tình trạng nghẽn mạng của Ethereum, đã thông báo bị hacker tấn công lấy đi 173.600 Ethereum cùng 25,5 triệu USDC.

Có thể hiểu nôm na RON như là một cái ngân hàng, nó giữ tất cả doanh thu từ Axie Infinity, bao gồm phí tham gia trò chơi và các khoản thanh toán khác.

Làm thế nào hacker có thể tấn công và lấy đi một số tiền như vậy? Theo giải thích của RON thì blockchain này được xây dựng với 9 node (nút lưu trữ và truyền tải dữ liệu trong blockchain). Để rút hay nạp tiền ra khỏi hệ thống yêu cầu phải có sự đồng ý 5/9 node, bằng cách nào đó hacker đã có được sự sở hữu 4/9 node của mạng này.

Trong đó, 1/9 node được giao cho cộng đồng Axie DAO quản lý (DAO được hiểu là một tổ chức tự động hoá phi tập trung, nói cách khác đây là một node do cộng đồng người chơi Axie quản lý). Do trong quá trình tăng trưởng quá nhanh và lượng người dùng lớn, tháng 11/2021, Sky Mavis đã yêu cầu quyền được xác thực giao dịch thay cho Axie DAO. Một tháng sau việc này bị ngừng, nhưng quyền truy cập vào danh sách xác thực vẫn chưa bị thu hồi, hacker đã lợi dụng lỗ hổng này để có đủ 5/9 node và thực hiện các giao dịch rút tiền ở trên.

Ngay sau khi sự việc xảy ra, RON đã tăng sự bảo mật lên 8/9 node khi tiến hành nạp và rút tiền ở mạng này.

Vì sao có con số hơn 600 triệu USD bị hack?

Cần chú ý số tiền hacker lấy đi là tiền mã hoá, theo đó có 173.600 Ethereum cùng 25,5 triệu USDC (đây là một đồng tiền mã hoá có giá trị tương đương với USD). Tính theo giá trị ở thời điểm đó trên các sàn giao dịch, giá trị của 1 Ethereum là hơn 3.400USD, nên số tiền được quy đổi ra hơn 600 triệu USD. Điều này có nghĩa giá trị đồng tiền bị hack  được tính theo giá trị giao dịch của các đồng tiền mã hoá tương ứng trên thị trường ở thời điểm hiện tại.

Người chơi đón nhận bình thản

Có một thực tế đây là vụ hack tiền mã hoá gây chấn động trong lịch sử từ trước đến nay bởi giá trị số tiền quá lớn đã bị lấy cắp. Tuy nhiên, đa số người chơi game Axie Infinity đều không quan tâm nhiều đến nó. Người viết đã tiến hành gửi các bài viết về sự việc vào các group của người chơi gamefi ở Việt Nam trên Facebook, hay vào các group Telegram như “Hội Axie Infinity…”, điều đáng ngạc nhiên là không thấy ai quan tâm hay bàn luận gì về sự kiện này. Họ vẫn chỉ trao đổi các vấn đề liên quan đến trong game như đội hình các nhân vật (pet), các chế độ chơi hay các trao đổi về giao dịch NFT…

Hoàng Minh Thiên, một người chơi Axie Infinity tại TP.HCM cho biết, “cộng đồng game Axie trong nước vẫn bình thường như không có gì xảy ra ấy anh. Em cũng đọc tin tức xong thấy đó là việc của nhà phát hành game chứ không liên quan đến người chơi lắm. Thôi thì mong họ sớm vượt qua được còn chúng em thì vẫn tiếp tục ‘cày’ game thôi”.

Sau sự cố kể trên, giá các đồng tiền điện tử liên quan đến Axie Infinity cũng đã có dấu hiệu sụt giảm, như đồng AXS và SLP giảm khoảng 7-8% và đồng RON giảm 20%. Tuy nhiên, đối với những nhà đầu tư tiền mã hoá thì mức giảm của một dự án game blockchain như vậy là bình thường, thậm chí có thời điểm game bị lạm phát các đồng tiền này còn giảm sâu hơn và sau đó lại tăng trưởng, nên không có vấn đề gì.

Theo các chuyên gia về game blockchain thì việc người dùng bình thản vậy là dễ hiểu, vì vụ hack này nó chỉ ảnh hưởng đến Sky Mavis và tiền của dự án, còn tài khoản người chơi hoàn toàn không bị gì, tiền trong game họ vẫn còn nguyên. Có chăng là việc quy đổi của người chơi sẽ bị chậm lại một thời gian khi Sky Mavis tiến hành xử lý sự cố.

Và phát biểu trên Bloomberg mới đây, ông Aleksander Leonard Larsen, COO của Studio Game Sky Mavischia sẻ, “chúng tôi cam kết hoàn trả cho người chơi trong thời gian sớm nhất có thể. Nhóm vẫn đang nghiên cứu giải pháp. Một cuộc thảo luận đang được diễn ra. 

Theo ông Larsen, các lãnh đạo của Sky Mavis vẫn đang làm việc với những nhân viên an ninh mạng chủ chốt để có cái nhìn tổng quan đầy đủ về tình hình. Mạng nội bộ của công ty đang trải qua quá trình đánh giá chi tiết để đảm bảo không có mối đe dọa nào tồn tại. Đồng thời vụ hack đã lấy đi tất cả ETH và USDC. Vì vậy, cặp ETH/USDC trên Ronin Network hiện không được hỗ trợ bởi bất kỳ thứ gì. Tuy vậy, công ty đang xem xét các lựa chọn khác 

Hacker khó sử dụng số tiền hack được

Mới đây các sàn tiền mã hoá trên thế giới như Binance, FTX, Huobi…tuyên bố sẽ hỗ trợ Axie Infinity để truy tìm hung thủ đã hack hơn 600 triệu USD ở trên.

Theo các chuyên gia bảo mật quốc tế và Việt Nam, hacker trong vụ tấn công vào Axie Infinity đã có hành vi kỳ lạ, khi gửi một phần ETH bị mất trộm tới các sàn giao dịch tiền mã hoá như FTX, Crypto.com và Houbi mà không phải quy đổi sang các đồng tiền mã hoá giúp che dấu danh tính phổ biến hiện nay.

Theo cập nhật từ Blockchain Intelligence Group, một công ty theo dõi hoạt động tiền mã hóa toàn cầu, số tiền trong vụ hack lịch sử này đã được chuyển tới nhiều sàn giao dịch khác nhau, bao gồm sàn FTX (1.219,98273106253 ETH), Crypto.com (1 ETH) và sàn Huobi (3.750 ETH). Phần lớn số tiền còn lại đang nằm trong ví điện tử ở địa chỉ: https://etherscan.io/address/0x098b716b8aaf21512996dc57eb0615e2383e2f96. Nhưng ví điện tử này cũng đang bị khóa lại nhằm tránh hacker rút tiền ra khỏi đây và chuyển đi nơi khác.

Dù có khả năng ẩn danh nhưng các giao dịch tiền mã hóa vẫn có thể truy vết được do ràng buộc về danh tính liên quan đến ví điện tử. Bên cạnh đó, các sàn như FTX hay Crypto.com thường buộc người dùng phải xác thực eKYC khi giao dịch, nghĩa là phải cung cấp toàn bộ thông tin cá nhân như số điện thoại, email, giấy tờ cá nhân và cả ảnh chụp gương mặt mình. 

Dữ liệu mới được công bố từ Peckshield - công ty chuyên nghiên cứu dữ liệu blockchain - chia sẻ trên Twitter, cũng cho thấy hacker chuyển số ETH ra 6 tài khoản khác nhau, sau đó tiếp tục chia nhỏ hoặc chuyển tới một số tài khoản khác trước khi kết thúc quá trình bằng việc đẩy lên các sàn giao dịch. Số tiền 25,5 triệu USDC được chuyển sang hai ví và chuyển đổi sang ETH trên nền tảng Multichain. Các hoạt động này đều đã được hệ thống lưu lại.

Điều này có nghĩa hacker không thể rút ra khỏi ví số tiền đã chuyển lên các sàn, và từ đó các sàn như Binance, Houbi sẽ hỗ trợ Axie Infinity xử lý lượng tiền mã hoá này.

Cách đây không lâu, một vụ hack tiền mã hoá cũng đã diễn ra với hệ thống Poly Network, gần 260 triệu USD đã bị hacker lấy đi, tuy nhiên sau đó đã được trả lại. Lý do hacker cho biết hành động của mình là “cho vui”, đồng thời yêu cầu mạng này chuyển 500.000 USD để trả lại số tiền trên, cùng với việc không truy cứu trách nhiệm hình sự. Tuy nhiên, theo các chuyên gia bảo mật hacker chọn phương án trả lại là do không “rửa” được số tiền quá lớn ở trên.

Lê Mỹ (Tổng hợp)

Tựa game Axie Infinity của người Việt bị hack hơn 600 triệu USD

173.600 Ethereum và 25,5 triệu USD đã bị rút khỏi hệ thống của Axie Infinity. Với quy mô của vụ việc, đây là một trong những vụ tấn công nghiêm trọng nhất trong lịch sử ngành tiền mã hóa.