Der Axie Infinity Hack: 660 Millionen Dollar, das Metaverse und Nordkorea

Große Hacks sagen viel über das Krypto-Ökosystem aus. Der Hack von Axie Infinity macht da keine Ausnahme. Der vielleicht größe Krypto-Hack aller Zeiten führt in ein Labyrinth von NFTs, DAOs, Sidechains und dem Metaverse, um in Nordkorea zu enden.

Es gibt diese Momente, in denen man sich als “Bitcoin-Blogger” alt vorkommt. Steinalt. 70 Jahre, 80, 90, 120 Jahre. Wie ein Dinosaurer, der seine knirschenden Gelenke in einen quietschbunten Sportanzug zwängt.

Der Hack von Axie Infinity ist einer dieser Momente. Er war mit etwa 660 Millionen Dollar der vielleicht größte Krypto-Hack aller Zeiten, und ich verstehe auf den ersten Blick kaum etwas von dem, was involviert war:

Das Metaverse, ein Spiel, digitales Land, Non Fungible Token (NFTs), eine DAO, die Ronin Sidechain … und, um dem Faß die Krone aufzusetzen: Hacker aus Nordkorea.

Wir haben also ein ziemlich wirres Knäuel aufzuwickeln, das aber, gemessen an der Summe, nicht ganz unwichtig ist. Daher fangen wir möglichst am Anfang an.

Wenn Siedler und Pokemon ein Blockchain-Kind gebären …

Axie Infinity ist ein “Blockchain-Spiel”, eine Mischung aus Siedler und Pokemon. Es wurde von Sky Mavis entwickelt wurde, einem Unternehmen aus Südkorea.

Man kann sich Kreaturen kaufen und ausbrüten, die sogenannten Axies, und diese kann man dann in die Schlacht führen. All das findet im Lande “Lunacia” statt. Dort kann man sich auch Land kaufen, um Ressourcen und Items zu farmen und eigene Königreiche zu bilden.

Mit einem Software-Kit kann man das Land bearbeiten, um eigene Spiele, Dungeons oder Schlachtfelder zu bilden. Auf diese Weise soll Lunacia dezentral weiterentwickelt werden, und Spieler sollen auch daran verdienen können, der Welt Orte und Quests hinzuzufügen.

All das wird durch Token auf einer Blockchain abgebildet, durch NFTs, ursprünglich auf Ethereum. Dies erlaubt es, all das, was passiert, zu verifizieren, und die Kreaturen, Länder, Ressourcen und Items zu handeln.

Ist das noch ein Spiel – oder schon Arbeit?

Im Prinzip schafft Axie Infinity nichts fundamental Neues. Die Grundlagen für solche Blockchain-Spiele waren spätestens mit den CryptoKitties, die man brüten und handeln konnte, gegeben, und viele Spiele haben solche NFTs mit Kämpfen und Erkundungen verbunden.

Allerdings schaffte Axie Infinity den Durchbruch. Es wurden Axies und Land im Wert von 3,6 Milliarden Dollar gehandelt; der teuerste Axie wurde für 820.000 Dollar verkauft, und angeblich spielen 2,8 Millionen Menschen am Tag. Dies macht Axie Infinity zu einem enorm erfolgreichen Spiel, das, zumindest in der Blockchain-Welt, seinesgleichen sucht.

Wobei “spielen” vielleicht das falsche Wort ist. “Arbeiten” könnte es eher treffen. Wo Ikea fragte, ob wir noch wohnen, oder schon leben, fragt Axie Infinity, ob wir noch spielen oder schon schuften.

Eine NBC-Reportage berichtet, wie durch Axie Infinity Tausende von Arbeitsplätzen in Ländern wie den Philippinen, Brasilien oder Nationen in Afrika entsteht, indem Leute durch das Spielen die sogennanten “Smooth Love Potion”-Token (SLP) verdienen. Clickworking in Spielen ist längst gang und gebe, aber Axie Infinity treibt es auf eine neue Stufe.

Die SLP-Token sind eine der zwei Ingame-Währungen. Die andere ist AXS. Dies ist wohl Voraussetzung, um zu spielen, und dient als Governance Token für die Axie-DAO, die eine Art Richtlinienkompetenz für die Weiterentwicklung des Spieles genießt.

Axie Infinity macht definitiv etwas richtig. Es ist das erste Blockchain-Spiel oder “Metaverse-Projekt”, das wirklich erfolgreich wurde.

Ab auf die Ronin-Sidechain

Aber mit dem Erfolg begannen auch die Probleme. Ein ständiger Dorn im Auge war, erkannten die Entwickler schon Mitte 2020, “die Verstopfung des Ethereum-Netzwerks … Die Gebühren bleiben für Monate gering, nur um plötzlich wieder hochzuschießen und unsere Ökonomie zum Stillstand zu bringen.”

Damit Axie Infinity nicht bei den Early Adopter stecken bleibe, sondern “unsere Verbindungen zweiten, dritten und vierten Grades (die Freunde und Familien unserer Freunde und Familien)” erreiche, brauche es eine dauerhafte Lösung. Diese Lösung ist die Ronin-Sidechain.

Ronin ist eine “mit Ethereum verbundene Sidechain, die speziell für Axie Infinity gebildet wurde.” Sie ist eine Art abgespeckte Version von Ethereum, die den “Proof of Authority” (PoA) nutzt. PoA wurde eigentlich für ein Ethereum-Testnetz entwickelt. Dabei werden Transaktionen durch fest bestimmte, als vertrauenswürdig geltende Validatoren bestätigt. PoA reduziert das, was Bitcoin und Ethereum so toll macht, nämlich die Dezentralität, auf das Minimum, das den Begriff (vielleicht) gerade noch verdient.

PoA wird etwa von der xDAI-Sidechain sowie von der Binance Smart Chain (BNB) verwendet. Er scheint ein stark zentralisierter, aber einigermaßen sicherer und für ein hohes Volumen geeigneter Konsens-Algorithmen zu sein.

Sky Mavis gelang es, einige bekannte und vertrauenswürdige Partner als Validatoren für die Ronin Sidechain zu gewinnen, darunter die Börse Binance und die französische Spieleschmiede Ubisoft.

Aber damit begannen, wie gesagt, die Probleme – und der Ende März erfolgte Hack von rund 660 Millionen Dollar.

So ging der Hack vonstatten

Am 23. März geschah es, dass die Validatoren von Sky Mavis und der Axie DAO kompromittiert wurden, woraufhin 173.600 Ether und 25,5 Millionen Dollar-Token (USDC) gestohlen wurden.

Gestohlen meint hier, dass die Token nicht einfach auf der Ronin-Sidechain entwendet worden sind. Sie wurden über die Brücke, die Ethereum mit der Ronin-Sidechain verbindet, auf die Ethereum-Blockchain überführt. Vermutlich wurden dabei weniger Spieler-Accounts gehackt, als vielmehr die Liquidität, die eine solche Brücke braucht, abgezogen.

Dies geschah auf die folgende Weise: Es gibt neun Validatoren der Ronin-Sidechain. Jeder Validator kann Transaktionen auf der Ronin-Chain eigenständig bestätigen, doch um Token an diese ein- oder von dieser auszuzahlen, also die Brücke zu überqueren, müssen fünf der neun Validatoren eine Transaktion bestätigen.

Vier der neun Validatoren sind im Besitz von Sky Mavis. Die Hacker konnten durch Social Engineering Zugriff auf diese Knoten erhalten.Somit hatten sie die Kontrolle über vier von fünf nötigen Validatoren.

Den fünften Node bekamen sie wegen einer kleinen Unachtsamkeit der Entwickler. Die Axie DAO hatte Sky Mavis im November 2021 per “allowlist” erlaubt, an ihrer statt Transaktionen zu signieren, weil sie dem Useransturm vorübergehend nicht Herr wurden.

Im Dezember wurde dies zwar wieder ausgesetzt, weil die Axie DAO aufgerüstet hatte. Doch der allowlist-Eintrag blieb. So konnten die Hacker, nachdem sie Zugang zu den privaten Schlüsseln von Sky Mavis erhalten hatten, auch den Validator der Axie DAO kontrollieren – und damit den fünften der fünf notwendigen Nodes.

Was nach dem Hack geschah …

Der Hack hatte natürlich ein Nachspiel. Dieses folgt einem längst eingespielten Drehbuch.

Zuerst wurde die Brücke zwischen Ronin und Ethereum gesperrt. Transaktionen auf der Ronin-Sidechain sind sicher, doch die Assets bleiben zunächst auf der Ronin-Sidechain eingesperrt. Dies wäre vermutlich zwangsläufig geschehen, da der Brücke die Liquidität entzogen war.

Danach nahm Sky Mavis Kontakt zu Polizei, Computerforensikern, Sicherheitsanalysten, Investoren und Börsen auf. Sie versuchten, herauszufinden, was geschah und durch wen, Mittel aufzutreiben, um die User, die etwas verloren hatten, zu entschädigen, und die Börsen zu überzeugen, die Ether-Adressen, auf denen die Beute gelandet war, auf eine Blacklist zu setzen.

All dies gelang offenbar: Die Entwickler wissen, was die Ursache des Hacks ist. Um zu verhindern, dass er sich wiederholt, wollen sie die Anzahl der Validatoren auf 21 erhöhen, wofür neue Partner und Community-Mitglieder aufzunehmen sind. Die Schwelle für Brückentransaktionen wird sofort auf acht von neun Validatoren erhöht.

Die allermeisten Börsen haben die Adressen auf eine Blacklist gesetzt, was es schwierig macht, die Ether und Dollar-Token zu verkaufen oder zu tauschen.

Eine Investorenrunde, angeführt von Binance, sponsorte 150 Millionen Dollar, durch die Sky Mavis die betroffenen User entschädigen und die Brücke zwischen Ronin und Ethereum wieder mit Liquidität füllen kann.

Die Gruppe Lazarus aus Nordkorea

Schließlich fand sich offenbar auch der Täter: Die Lazarus-Gruppe aus Nordkorea.

Dies geht auf das US-Finanzministerium zurück, das die in den Hack involvierten Adressen auf eine Blacklist setzte und sie mit Lazarus verband.

Lazarus ist eine berühmt-berüchtige Hackergruppe, die angeblich zum Geheimdienst des Landes gehört. Sie steht hinter zahlreichen großen Hacks der vergangenen Jahre, etwa der WannaCry-Ransomware oder dem Hack von Sony.

Lazarus ist einer der wenigen Wirtschaftsakteure Nordkoreas, wenn nicht der einzige, der international wettbewerbsfähig ist. Der Analyst Chainalysis erklärt, dass den Hackern 2021 mindestens sieben Angriffe auf Krypto-Plattformen gelungen seien, wodurch sie beinah 400 Millionen Dollar in digitalen Assets extrahiert haben. Lazarus ziele vorwiegend auf Investment-Firmen und Börsen und ziehe alle Register des Hackings: “Phishing, Code-Exploits, Malware und Social Engineering.”

Mit 400 Millionen Dollar stellte Lazarus ungefähr 2-3 Prozent des nordkoreanischen Bruttosozialprpodukts in 2021. Mit dem Hack von Axie Infinity hat die Gruppe diesen Anteil für 2022 bereits jetzt übertrumpft. Allerdings stehen die Chancen, diese Summen jemals zu liquidieren, extrem schlecht.

---

Das Bitcoinblog wird von Bitcoin.de gesponsort, ist inhaltlich aber unabhängig und gibt die Meinung des Redakteurs Christoph Bergmann wieder

Christoph hat vor kurzem sein zweites Buch veröffentlicht: “Das Bitcoin-Kompendium: Netzwerk und Technologie”. Es ist eine überarbeitete Auslese seiner besten Artikel für dieses Blog. Ihr könnt das Kompendium direkt auf der Webseite Bitcoin-Buch.org bestellen – natürlich auch mit Bitcoin – oder auch per Amazon.

Tipps für Stories sind an christoph.bergmann@mailbox.org immer erwünscht. Für verschlüsselte Nachrichten nutzt bitte meinen PGP-Schlüssel — Auf Telegram! könnt ihr unsere News abonnieren.