老牌遊戲公鏈 Ronin 創辦人昨日突然在社交平台 X 發文表示，Ronin 跨鏈橋經駭客報告漏洞已經暫時停止運行，受影響資金達到 1,200 萬美元。不過幸運的是，在與駭客談判後，所有資金均有望得到歸還。
（前情提要：印度最大交易所 WazirX 遭竊2.3億鎂！駭客拋售多種代幣：SHIB、WRX..暴跌逾10%（持續更新））
（背景補充：Cardano遭DDoS攻擊！官方嘲諷：感謝白癡駭客送錢，ADA波動？）
老牌遊戲公鏈 Ronin Network 創辦人 @Psycheout86 昨（6）日晚間突然在社交平台 X 上發文表示，有駭客向 Ronin 官方報告漏洞，可能受到 MEV 攻擊，Ronin 跨鏈橋已經暫停運行：
當有白帽駭客向我們報告潛在的 MEV 攻擊漏洞後，Ronin 跨鏈橋已經暫停運行。
Ronin 跨鏈橋目前擁有超過 8.5 億美元的資金，但這些資金均是安全的。
The @Ronin_Network bridge has been paused while we investigate a report from whitehats about a potential MEV exploit.
We will follow up with more information shortly.
The bridge currently secures over $850M which is safe https://t.co/lUjIIgb1DD
— Psycheout.ron (@Psycheout86) August 6, 2024
SlowMist：Ronin 合約中權重值遭修改
隨後，區塊鏈安全團隊 SlowMist（慢霧）發文分析 Ronin 此次遭駭原因，稱是由於 Ronin 合約中權重值（weight）被改成無預期之數值，導致資金可以在不需要通過多重簽名的同意下就能被轉移。
Due to the weights being modified to unexpected values, funds can be withdrawn without going through any multisig threshold checks. https://t.co/fkYA7yCTIw pic.twitter.com/J0v4ybWYNv
— SlowMist (@SlowMist_Team) August 6, 2024
受影響資金達 1,200 萬美元
隨後，Ronin 官方也在 X 平台上發佈更新，透露了受影響資金額並稱正在與駭客進行談判：
今天早些時候，白帽駭客通知我們有關 Ronin 跨鏈橋的潛在漏洞，經過核實後，我們在發現具體的鏈上操作後約 40 分鐘，就暫停了跨鏈橋的運行。
攻擊者提取了約 4,000 枚 ETH 和 200 萬枚 USDC，價值約 1,200 萬美元。因為這是單筆交易中，可以從 Ronin 跨鏈橋提取的最大金額，所幸這一限制防止了更大的損失。
由於跨鏈橋升級在經過治理流程部署後，引入了一個問題，導致跨鏈橋誤解了提取資金所需的橋接營運商投票門檻。
目前，我們正在與白帽駭客進行談判，他們似乎也做出了善意的回應，但無論談判結果如何，所有的用戶資金均是安全的。
Earlier today, we were notified by white-hats about a potential exploit on the Ronin bridge. After verifying the reports, the bridge was paused approximately 40 minutes after the first on-chain action was spotted.
The actors withdrew ~4K ETH and 2M USDC, valued at ~$12M, which…
— Ronin (@Ronin_Network) August 6, 2024
白帽駭客歸還資金
幸運的是，在經過與駭客的談判後，Ronin 昨晚發佈事件後續，稱白帽駭客已經返還了價值約 1,000 萬美元的 ETH，且 USDC 也將在不久退還，Ronin 官方也獎勵給駭客 50 萬美元的資金，這場意外算是有了個好的結果：
約 1,000 萬美元的 ETH 現已被返還，我們預計 USDC 也將在稍晚得到歸還。我們感謝白帽駭客的警覺與正直，我們也通過漏洞賞金計劃，獎勵了 50 萬美元給駭客。
Ronin 跨鏈橋在重新開放後也將接受更為嚴格的審查，我們將及時更新資訊。
但是幾年前才損失超 6 億美元轟動市場的 Ronin 跨鏈橋，如今又發生安全漏洞，雖然有驚無險地拿回資金，但是不禁令人對其安全團隊感到憂心…。
Update:
The ETH (~$10 M) has been returned and we expect that the USDC will be returned later today. We thank the white hats for their vigilance and integrity. The Bug Bounty Program will reward the white hats with a 500 K bounty.
The bridge will undergo an audit before it is…
— Ronin (@Ronin_Network) August 6, 2024
