Kako je Napad na Ronin Bridge od 625 Miliona Dolara Zauvek Promenio Cross-Chain Bezbednost

U martu 2022. blockchain svet je doživeo jedan od najvećih finansijskih napada u istoriji decentralizovanih finansija. Ronin Network — Ethereum-kompatibilni sidechain napravljen za igru Axie Infinity — bio je ispražnjen za 173.600 ETH i 25,5 miliona USDC, što je tada iznosilo oko 625 miliona dolara. Ovaj incident nije bio samo finansijska katastrofa. Bio je alarm koji je trajno promenio industrijski pristup bezbednosti cross-chain infrastrukture.

Šta je Ronin Network bio?

Ronin je bio poseban sidechain koji je kompanija Sky Mavis izgradila kako bi rasteretila Ethereum od transakcija vezanih za Axie Infinity. Na vrhuncu popularnosti, igra je imala više od 2,7 miliona dnevno aktivnih korisnika, a transakcioni troškovi na mainnet Ethereum-u bili su previsoki za mikro-plaćanja u igri. Rešenje je bio Ronin — brži, jeftiniji lanac sa sopstvenim bridge ugovorima koji su omogućavali prenos imovine između Ethereuma i Ronina.

Bridge je koristio multi-sig model gde je 5 od 9 validatora moralo da potpiše svaku transakciju povlačenja. Teorija je bila robusna: napadač bi morao da kompromituje pet nezavisnih entiteta da bi uspeo. Praksa je bila daleko ranjivija.

Vektor Napada: Social Engineering i Centralizacija

Lazarus Group — hakerski kolektiv koji finansira Severna Koreja — nije iskoristio grešku u kodu pametnog ugovora. Iskoristili su daleko opasniju ranjivost: kombinaciju loše organizacione bezbednosti i zastarelih pristupnih dozvola koje niko nije opozvao mesecima.

Napad je počeo phishing napadom putem LinkedIn-a. Napadači su kreirali lažne ponude za posao, ciljajući senior inženjere Sky Mavisa. Jedan zaposleni je preuzeo PDF koji je izgledao kao ugovorni dokument, ali je sadržavao malver koji je dao napadačima pristup internoj infrastrukturi. Sa tim pristupom, Lazarus je preuzeo četiri od pet privatnih ključeva validatora pod kontrolom Sky Mavisa — dajući im četiri od pet potrebnih potpisa.

Peti potpis stigao je iz iznenađujućeg izvora. Mesecima pre napada, Sky Mavis je tražio od Axie DAO-a privremenu dozvolu za potpisivanje transakcija tokom perioda visoke potražnje. DAO je dao dozvolu — ali je nikad nije opozvao. Napadači su kombinovali kompromitovane ključeve sa DAO-ovim ključem i postigli prag od 5/9.

Celokupna krađa od 625 miliona dolara sastojala se od svega dve transakcije. Napadači su čekali pet punih dana pre nego što je iko primetio — tek kada je korisnik pokušao da povuče 5.000 ETH i dobio grešku.

Četiri Propusta Koji su Omogućili Katastrofu

Post-mortem analiza identifikovala je jasne uzroke. Četiri od devet validatora bili su pod kontrolom jedne kompanije — Sky Mavisa. Teorijski prag od 5/9 bio je u praksi 2/5 za napadača koji targetira jednu organizaciju. Ovo je fundamentalni propust u dizajnu: pseudo-decentralizacija koja pruža lažni osećaj bezbednosti.

Drugi propust bila je DAO-ova dozvola iz novembra 2021. koja nikada nije opozvana. Zastarele pristupne dozvole jednako su opasne u blockchain upravljanju kao i u korporativnoj IT bezbednosti — i daleko se ređe proveravaju. Treći propust bio je potpuno odsustvo automatskog monitoringa koji bi detektovao povlačenje vrednosti od pola milijarde dolara. Četvrti: nijedan circuit breaker, nijedan limit povlačenja, nijedna zahtevana dodatna verifikacija za neobično visoke iznose.

Kako je Industrija Odgovorila

Ronin napad je pokrenuo seriju promena koje su trajno izmenile kako se projektuju cross-chain mostovi. Industrijski standard pomeren je ka validatorima pod kontrolom nezavisnih entiteta raspoređenih u različitim jurisdikcijama — nijedan entitet ne bi trebalo da kontroliše više od 15–20% validatora. Razvoj ZK-proof mostova eliminiše čitavu klasu napada zasnovanih na kompromitovanju ključeva time što matematički dokazuje ispravnost transakcija umesto da se oslanja na pouzdane potpisnike.

Forta, Hexagate i Hypernative nastali su direktno kao odgovor na Ronin incident, nudeći real-time detekciju anomalija specifičnu za bridge ugovore. Danas veća povlačenja rutinski aktiviraju 24–72 satne periode čekanja, dajući bezbednosnim timovima prozor za reakciju pre nego što su sredstva nepovratno transferisana.

Regulatorne Posledice

Američki Trezor — OFAC — sankcionisao je Ethereum adrese povezane sa Lazarus Group-om u maju 2022. Bio je to prvi put da je blockchain adresa državnog aktera dodata na SDN listu. Kripto berze bile su primorane da implementiraju real-time screening transakcija u odnosu na OFAC sankcijske liste, otvarajući fundamentalnu debatu o tome da li decentralizovani protokoli imaju obavezu da blokiraju sankcionisane adrese.

Zaključak

Četiri godine posle Ronin napada, lekcije ostaju aktuelne za svaki protokol koji drži značajne vrednosti. Distribuirano upravljanje ključevima, redovne revizije pristupnih dozvola, automatski monitoring i limiti povlačenja nisu luksuz — to su minimalni bezbednosni standardi. Ronin napad od 625 miliona dolara bio je skupa lekcija za celu industriju. Pitanje je koliko protokola je zaista naučilo iz nje.

Izvor: Chainalysis Crypto Crime Report 2023. OFAC SDN List update, May 2022. Sky Mavis post-mortem izveštaj, April 2022.