Environ 625 millions de dollars de cryptomonnaies ont été volés à Ronin, la blockchain qui sous-tend le célèbre jeu de cryptomonnaies Axie Infinity. Le réseau Ronin est utilisé comme un pont entre le jeu vidéo et les blockchains, essentiellement pour transférer des cryptomonnaies dans et hors du jeu.

Profitant de vulnérabilités dans l'implémentation de la sidechain Ronin, un pirate est parti avec environ 173 600 ETH (d'une valeur de 594,6 millions de dollars) et 25,5 millions de dollars américains, soit plus de 650 millions d’euros au total. La faille de sécurité a été confirmée par les comptes Discord et Twitter officiels d'Axie Infinity, ainsi que par Ronin Network, qui sous-tend le jeu.

Axie Infinity, c’est quoi ?

Axie Infinity est un jeu de cryptomonnaies qui ressemble à un croisement entre un jeu Tamagotchi et un titre        Pokémon. Il s’agit d’un « univers d'animaux domestiques numériques où les joueurs combattent, élèvent et échangent des créatures fantastiques appelées Axies », des créatures qui se trouvent en fait être des NFT. Cependant, les débuts ne sont ni simples ni bon marché, et l'investissement initial est beaucoup plus important que pour un jeu PlayStation ou Xbox classique, puisqu’il faut payer pour pouvoir commencer à jouer et créer son équipe de monstres NFT.

L'avantage, cependant, c'est que vous êtes propriétaire de vos NFT Axie et que vous pouvez les revendre, et que son approche « play-to-earn » vous récompense avec des jetons cryptographiques qui peuvent être échangés contre de l'argent. L’intérêt pour ce type de jeu devrait être croissant chez les gamers au cours des prochaines années. Qu’il s’agisse de capturer des Bitcoins comme dans Pokemon Go ou d’utiliser des devises virtuelles pour dépenser au sein du jeu, comme dans Axie Infinity, le principe est aussi novateur que populaire. Selon le créateur de Reddit, 90 % des gamers se tourneront bientôt vers des jeux comme Axie Infinity pour gagner des cryptomonnaies.

Axie utilise Ronin, une « sidechain » conçue spécialement pour le jeu, qui permet aux utilisateurs d'accéder à la blockchain Ethereum sans payer les frais de transaction habituels. Pour ceux qui ne le savent pas, une sidechain, telle que définie par HackerNoon, est « une blockchain séparée qui est attachée à sa blockchain mère à l'aide d'un lien bidirectionnel [qui] permet l'interchangeabilité des actifs à un taux prédéterminé entre la blockchain mère et la sidechain ».

Comment s’est déroulée l’attaque contre le réseau d’Axie Infinity ?

Le piratage d'Axie semble être l'un des plus importants piratages de DeFi à ce jour. D’autres pirates avaient réussi à voler 320 millions de dollars sur le pont Wormhole en février et plus de 600 millions de dollars sur le réseau Poly l'année dernière. Cependant, contrairement aux précédentes attaques de DeFi, le piratage de Ronin ne semble pas être en lien avec un quelconque contrat intelligent, ce qui signifie qu'il n'y avait pas nécessairement un bug dans le code. En effet, la personne qui a volé ces fonds a plutôt adopté une approche plus traditionnelle en subtilisant les clés cryptographiques du développeur d'Axie Infinity, Sky Mavis, et « un validateur tiers géré par Axie DAO ».

Comme l'ont indiqué les développeurs de Ronin, l'attaquant a utilisé des clés privées piratées pour effectuer de faux retraits, vidant les fonds du pont Ronin en seulement deux transactions. Fondamentalement, la “sidechain” de Ronin pour des jeux comme Axie Infinity utilise « 9 nœuds validateurs » pour empêcher les transactions frauduleuses. Cependant, en novembre, en raison de la demande écrasante des nouveaux joueurs d'Axie, Ronin avait accordé des privilèges spéciaux à Sky Mavis, la société derrière le jeu, afin qu'elle puisse signer des transactions en son nom.

Plus important encore, le piratage a eu lieu le 23 mars, mais n'a été découvert que mardi après qu'un utilisateur ait découvert des problèmes après avoir échoué à retirer 5 000 ETH du pont Ronin. À la suite du vol, RON, le principal jeton de gouvernance de Ronin, a chuté de près de 20 % à 1,88 dollar. « Sky Mavis s'engage à faire en sorte que tous les fonds drainés soient récupérés ou remboursés », a écrit la société dans son billet de blog. Le problème, c’est que la société ne semble pas disposer des ressources nécessaires pour rembourser les victimes par ses propres moyens. Il faudra donc patienter avant de savoir comment la société va pouvoir gérer cette crise et la frustration des joueurs.