【ハッキング解説】2024年8月のRoninブリッジのハッキングの解説

この記事では、BCGを一躍有名にした「アクシーインフィニティ」で知られるRoninチェーンが、8月6日火曜にハッキングを受け、1200万ドルの損失を出した件について解説するとともに、このニュースでキーポイントになっているブリッジとMEVについても簡単に解説しています。

事件の詳細とRoninチェーンについて

Roninチェーンは、BCGという概念自体を有名にしたアクシーインフィニティの開発会社であるSky Mavisが開発しているBCG特化型ブロックチェーンです。

元はAxie Infinity専用として作成されていたチェーンでしたが、現在はSky Mavis以外の第三者の会社が手掛けるブロックチェーンゲーム（Pixelsなど）もRoninチェーンを使用しており、複数のゲームがその上に乗るハブのようになっています。

ハッキングされたのはRoninチェーンとEthereum間で資産移動を可能にしている通称「Roninブリッジ」と呼ばれている部分です。

日本時間で8月6日の午後7時に事件が起き、1200万ドル相当のETHまたUSDCが盗まれました。

開発者は「MEVエクスプロイトの可能性」と事件当日にツイートを行っています。

またこの時点から記事公開現在に至るまでRoninチェーンは停止しています。後述する資金の返還後も調査のためとして停止しているようです。

しかし、盗んだ本人はホワイトハットのハッカーであり、盗まれた資金は全額が翌日8月7日にRoninブリッジに対して返還されたようです。

Update:

The ETH (~$10 M) has been returned and we expect that the USDC will be returned later today. We thank the white hats for their vigilance and integrity. The Bug Bounty Program will reward the white hats with a 500 K bounty.

The bridge will undergo an audit before it is…

— Ronin (@Ronin_Network) August 6, 2024

また、Roninはこのホワイトハットのハッカーに対しバグバウンティの報奨金として50万ドル（トークンかステーブルコインかは不明）を与えたようです。

また、以下は事件発覚直後の公式のツイートですが、1200万という抜き取られた額自体も、Roninブリッジが引き出し制限をかけている限界の額であり、この点に関してハッキング対策は正常に動作したとRoninはアピールしています。

Earlier today, we were notified by white-hats about a potential exploit on the Ronin bridge. After verifying the reports, the bridge was paused approximately 40 minutes after the first on-chain action was spotted.

The actors withdrew ~4K ETH and 2M USDC, valued at ~$12M, which…

— Ronin (@Ronin_Network) August 6, 2024

まとめ

8月6日にRoninチェーンとEthreumを繋ぐRoninブリッジがハッキングされ、1200万ドル相当のETHとUSDCが盗まれましたが、ハッカーはホワイトハット目的だったので盗んだトークンを翌日に全て返還し、また脆弱性の改善のために開発チームと協議しているようです。記事公開時点でいまだにRoninブリッジは稼働を停止しており、またこのハッカーに対しては報酬として50万ドルが与えられました。