تاریخچه اکسی اینفینیتی؛ از اوج تا هک شبکه رونین
برای ثبت سفارش به حساب نیاز دارید. ثبت نام رایگان است.
بزرگ ترین اتفاق تاریخ اکسی اینفینیتی یک به روزرسانی بازی نبود. دو تراکنش برداشت بود که پنج امضا پایشان خورده بود، و همان دو تراکنش مسیر این پروژه را برای همیشه عوض کرد.
برای فهمیدن اینکه امروز کجای کار است، باید ترتیب اتفاق ها را بدانید. این تاریخچه سه فصل دارد.
اکسی اینفینیتی روی اتریوم شروع شد و خیلی زود به دیواری خورد که هر بازی زنجیره ای به آن می خورد: کارمزد. وقتی هر حرکت داخل بازی یک تراکنش است، کارمزد اتریوم بازی را غیرقابل استفاده می کند.
راه حل تیم سازنده، ساختن یک زنجیره جانبی اختصاصی بود. وایت پیپر پروژه رونین را همین طور معرفی می کند: زنجیره ای متصل به اتریوم که مخصوص اکسی اینفینیتی ساخته شده. حتی اسمش هم انتخاب شده است؛ رونین در ژاپن فئودالی به سامورایی بی ارباب می گفتند و تیم می خواست بگوید سرنوشت محصولش را خودش در دست گرفته.
این تصمیم جواب داد. کارمزد عملا صفر شد، بازی روان شد و کاربر آمد. و همین تصمیم، ریشه فصل سوم هم بود.
در متن رسمی پروژه که آخرین بار در نوامبر ۲۰۲۱ به روز شده، دو ادعا هست که تصویر آن دوره را می سازد: اینکه اکسی از نظر تعداد کاربران فعال روزانه، هفتگی و ماهانه رتبه اول بازی های اتریوم بوده، و اینکه بازیکن ها تا آن زمان بیش از یک میلیون اتر در این اکوسیستم خرج کرده اند.
مدل درآمدی اش هم همان بود که بعدها بحث برانگیز شد: بازیکن تازه برای شروع باید موجودات بازی را می خرید و پول او پاداش بازیکن قدیمی می شد. پاداش هم به صورت توکن مصرفی بازی پرداخت می شد؛ توکنی که سقف عرضه ندارد و مکانیزمش را در توکن اس ال پی جدا نوشته ایم. تا وقتی صف ورودی طولانی بود، این چرخه کار می کرد. حساب و کتاب دقیق این مدل را هم در بررسی درآمد اکسی اینفینیتی آورده ایم.
پل ارتباطی رونین با اتریوم را نه اعتبارسنج نگه می داشتند و برای تایید هر برداشت، امضای اکثریتشان لازم بود. یعنی پنج امضا.
گروه لازاروس دقیقا همان پنج کلید خصوصی را به دست آورد. گزارش شرکت چین آنالیزیس که خودش در ردیابی این پول ها نقش داشت، جزئیاتش را نوشته: با آن اکثریت دو برداشت تایید شد، یکی صد و هفتاد و سه هزار و ششصد اتر و دیگری بیست و پنج و نیم میلیون واحد یو اس دی سی. مجموعش بیش از ششصد میلیون دلار بود.
هیچ قرارداد هوشمندی شکسته نشد و هیچ باگ برنامه نویسی ای در کار نبود. سیستم دقیقا همان کاری را کرد که برایش نوشته شده بود؛ فقط کلیدها دست آدم های دیگری بود.
همان گزارش مسیر را دنبال می کند: پول در بیش از دوازده هزار آدرس مختلف پخش شد و از یک میکسر عبور کرد. آن میکسر بعدا به دلیل نقشش در پولشویی بخش بزرگی از همین سرقت، مشمول تحریم دفتر کنترل دارایی های خارجی آمریکا شد.
و یک بخش کمتر نقل شده هم هست: بیش از سی میلیون دلار از این پول بعدا توقیف شد؛ اولین باری که دارایی دیجیتال سرقت شده توسط این گروه بازپس گرفته می شد. یعنی حدود ده درصد. نود درصد باقی مانده، پاسخ کسانی است که فکر می کنند بلاکچین شفاف یعنی پول قابل بازگشت.
این بخش را برای هر کسی که دارایی اش را روی زنجیره های جانبی و پل ها جابه جا می کند نوشته ایم، چون همان الگو هنوز تکرار می شود.
وقتی می گویند یک زنجیره «به اتریوم متصل است»، معنی اش این نیست که امنیت اتریوم را دارد. دارایی شما را یک قرارداد روی اتریوم قفل می کند و نسخه معادلش را زنجیره جانبی به شما می دهد. کلید آن قفل دست اعتبارسنج های همان زنجیره جانبی است، نه دست اتریوم.
پس عددی که واقعا امنیت را تعیین می کند، تعداد و پراکندگی اعتبارسنج هاست، نه اسم زنجیره ای که به آن وصل شده. نه اعتبارسنج که پنج تایشان کافی است، عدد کوچکی است؛ و کوچک بودنش همان چیزی بود که سرعت و کارمزد پایین را ممکن می کرد. سرعت مجانی نبود.
همین سوال را قبل از هر انتقالی از خودتان بپرسید و اگر جوابش را نمی دانید، دارایی را جابه جا نکنید. برای کسی که فقط می خواهد به خود توکن دسترسی داشته باشد، معامله توکن اکسی اینفینیتی در دیجی دلار این ریسک را اصلا وارد بازی نمی کند.
تیم سازنده پل را بازسازی کرد و تعداد اعتبارسنج ها را بالا برد. بازی هم ادامه پیدا کرد و نسخه های تازه ای منتشر شد.
اما دو چیز برنگشت. یکی اعتماد به مدل درآمدزایی، که پیش از هک هم زیر فشار بود. دیگری موقعیت پیشتاز بودن؛ فرصتی که این پروژه در ۲۰۲۱ داشت، فرصت تعریف کردن یک دسته کامل از بازی ها بود و آن پنجره بسته شد. اینکه از اینجا به بعد چه چیزی را باید دنبال کرد، موضوع آینده اکسی اینفینیتی است.
هک شبکه رونین چه زمانی اتفاق افتاد و چقدر بود؟
مارس ۲۰۲۲، و مبلغش بیش از ششصد میلیون دلار بود؛ در قالب دو برداشت شامل صد و هفتاد و سه هزار و ششصد اتر و بیست و پنج و نیم میلیون واحد یو اس دی سی.
هکرها دقیقا چه کار کردند؟
به پنج کلید خصوصی از نه کلید اعتبارسنج پل رونین دسترسی پیدا کردند. چون تایید هر برداشت به اکثریت نیاز داشت، همان پنج امضا برای تایید دو برداشت کافی بود. قرارداد هوشمندی شکسته نشد.
آیا پول برگشت؟
بخش کوچکی از آن. بیش از سی میلیون دلار توقیف شد که حدود ده درصد کل سرقت بود و اولین مورد بازپس گیری از این گروه به حساب می آمد. باقی مانده بازنگشت.
شبکه رونین چیست؟
یک زنجیره جانبی متصل به اتریوم که تیم سازنده اکسی اینفینیتی مخصوص همین بازی ساخت تا کارمزد تراکنش های درون بازی عملا صفر شود. دارایی از طریق یک پل بین اتریوم و رونین جابه جا می شود و همین پل بود که هدف حمله قرار گرفت.
