财联社|区块链日报(北京，记者董)报道称，黑客从流行的游戏Axie Infinity中窃取了价值超过6亿美元的加密货币，盗窃行为仅在6天后曝光。
这是迄今为止牵涉最广的DeFi黑客事件。虽然两周前，部分被盗资金被转移到不同的集中交易所和以太坊的隐私工具Tornado Cash，但黑客的身份仍然是个谜。
4月6日，Axie Infinity的母公司获得了1.5亿美元的新一轮融资，官方称这笔资金将用于补偿Ronin攻击事件的受害者。
“盗窃”是怎么发生的？
盗窃发生在连接Axie Infinity的Ronin网络中。
Ronin是2021年2月推出的以太坊侧链。在一切都要交煤气费的以太坊，Ronin允许每个用户每天进行100次免费交易。
Axie Infinity玩家可以使用这个“桥”将邰方或USDC存入Ronin，然后在游戏中用它购买NFT和代币。同时，他们可以通过“桥梁”将出售游戏资产的资金抽回。
根据Ronin在3月29日发布的通讯，黑客利用Ronin Bridge，通过两次单独的交易，窃取了173，600 ETH和USDC，这是一种价值超过2500万美元的稳定货币。官方直到验证者节点被破坏6天后才意识到攻击。
Ronin采用权威证明(PoA)的共识模型，不同于工作量证明(PoW)。PoA根据有限验证节点的信誉来验证和批准交易。目前Ronin链由9个验证者节点组成，需要5个节点的签名来识别存取款事件。
该通讯指出，黑客“使用破解的私钥伪造假取款”。具体来说，黑客首先通过阿谢道运行的其中一个RPC节点的后门获取了阿谢道的签名。此外，攻击者成功控制了Sky Mavis的4个浪人验证节点，最终实现了对资产的盗窃。
Ronnetwork表示，未来公司将把验证者节点的共识门槛提高到8/9，最终增加验证者的数量。
截至记者发稿时，黑客身份尚未确认，大部分资金存放在黑客的数字钱包中。根据区块链证券公司慢雾科技的分析，有少量资金被转移到Crypto.com的FTX和霍比交易所。
据Coindesk报道，许多业内专家对黑客试图通过集中交易所洗钱的方式感到惊讶。由于这些平台具有KYC验证系统，存款行为可用于识别黑客，并最终迫使他们退还资金。
火币告诉《区块链日报》，它正在“积极协助Axie Infinity进行通信和处理”。
安还表示，浪人网络的撤资首次被暂停，“调查正在进行中”。
欧科云链研究院高级研究员蒋兆升告诉记者，由于链上地址的透明性，黑客地址无法轻易转移，因此“不排除最终回流的可能”。
玩家的资产仍然不可用。
浪人使用的Axie Infinity是世界上最受欢迎的区块链在线游戏之一。它由总部位于越南的Sky Mavis公司于2018年推出。
要进入Axie Infinity，玩家需要先通过购买或租借的方式获得3个“Axie”。每一把“斧头”都是一把可以战斗、繁殖和交易的NFT。
在Axies赢得战斗或完成必要的任务后，玩家将获得游戏内令牌SLP或治理令牌AXS。有了SLP和AXS，玩家可以培养他们的斧头来获得更多的奖励，或者他们可以选择卖给其他用户来赚钱。
高档的“Axies”曾经卖到几十万美元。在Axie Infinity人气飙升的2021年，菲律宾等东南亚国家的一些人甚至把玩游戏当成了全职工作。玩家赚取的33，354代币可以兑换成当地货币。
此外，Axie Infinity的爆发式增长还获得了母公司Sky Mavis的投资，包括a16z和德尔福数码。继去年8月从a16z融资460万美元后，Sky Mavis在10月份又获得了由A16Z领投的1.52亿美元B轮融资。
根据市场追踪公司CryptoSlam的数据，该游戏迄今为止的总交易额已经超过了40亿美元。
“我只想要回我的钱。我有账单要付。”一名不愿意透露姓名的菲律宾玩家告诉区块链日报记者。
由于黑客入侵，浪人网络已经暂停，在该网络上保留数字资产的玩家目前无法交易。
当被问及是否会继续玩这款游戏时，这位菲律宾玩家表示“不确定”，但随后又表示应该继续。“当我赚到代币，获得资产的时候，我会立刻取出来套现。”
4月6日，黑客事件发生两周后，Sky Mavis宣布再次获得由比南领投的新一轮1.5亿美元融资，a16z仍参与此轮。Axie Infinity官方表示，此轮融资资金以及Sky Mavis和Axie Infinity的资产负债表将用于确保受黑客事件影响的用户得到赔偿。
在Axie Infinity的官方推特下，仍有不少玩家留言称希望自己在Ronin的资产能尽快解冻，并要求官方提供更多信息，因为“这都是我们的钱和投资”。
频繁的黑客攻击背后
浪人桥盗窃案再次凸显加密领域的安全隐患。
如今，加密资产的市值约为2万亿美元。随着资金的涌入，行业内的黑客行为变得更加猖獗和频繁。
根据区块链研究公司Chainalysis的数据，2021年DeFi平台被盗资金约为23亿美元，比上一年增长1330%。
针对跨链桥和DeFi项目被黑客攻击的区别，蒋兆升认为智能合约安全对DeFi项目方最重要；对于跨链桥来说，如何保证托管资产的安全，建立社区共识更为重要。
\” DeFi是一个应用程序，跨链桥只是基础设施.\”他说。
“未来会是多链，而不是跨链。”以太坊创始人维塔利克布特林(Vitalik Buterin)今年1月在推特上表示，“跨越多个‘主权区域’的桥梁存在根本性的安全限制。”
根据浪人网络的声明，其承诺“保证用户的资金不会流失”。从行业内以往的黑客事件来看，如果被盗资金找不回来，被攻击的项目方大多会表示将独立承担用户的损失。
但如果项目方不承担损失，再加上监管不完善，受害者追讨资金或寻求帮助的渠道并不多。
此前，2021年8月，黑客从跨链分散金融(DeFi)协议Poly Network窃取了6.11亿美元，随后大部分资金被黑客自己归还。
蒋兆升指出，DeFi等创新领域的业务变化很大，对智能合约的设计提出了极高的要求，也因此“往往成为黑客寻找漏洞成功率最高的方向之一”。随着DeFi在众多公链生态系统的逐渐繁荣，他认为一些项目的“产品结构和经济模型设计”需要改进。