El juego que pagó facturas y la brecha de cinco firmas: el robo de casi $620M de Lazarus en Ronin

1. Cabanatuan: cuando las ganancias de Axie entraron en el presupuesto familiar

En 2020 y 2021, la pandemia dio a Axie Infinity un papel inusual en Cabanatuan, Filipinas. CoinGecko presentó ejemplos de jugadores que cambiaban las ganancias del juego para pagar facturas, sostener a sus familias y cubrir gastos escolares, y enlazó un breve documental sobre la comunidad. Eran casos de apoyo al hogar, no una promesa de ingresos para todos los jugadores.^[1]

Estos ejemplos familiares giraban en torno a SLP (Smooth Love Potion), obtenido mediante el modelo Play-to-Earn de Axie. CoinGecko describió su conversión a otra criptomoneda y después a pesos. Esa ruta conectaba las recompensas del juego con dinero para gastos, aunque el importe recibido dependía del valor de cambio del token.^[1]

Como formar un equipo inicial costaba más de lo que muchos podían pagar, dueños de activos prestaron NFT de Axie mediante becas y compartieron los ingresos en SLP. CoinGecko documentó ejemplos cercanos a 15.000 pesos filipinos al mes, frente a unos 10.000 en ciertos trabajos locales. El 5 de octubre de 2021, Sky Mavis afirmó que Axie superaba los dos millones de usuarios activos diarios, pero esa cifra no contaba solo becarios ni usuarios filipinos.^[1][2]

2. La fricción de Ethereum y la concentración del puente Ronin

El crecimiento de Axie chocó con la congestión de Ethereum. Sky Mavis explicó que las confirmaciones lentas y el gas perjudicaban la economía del juego, basada en operaciones pequeñas y frecuentes.^[4]

Sky Mavis construyó Ronin como cadena lateral conectada a Ethereum. Sus anuncios prometían confirmaciones rápidas y tarifas mucho menores; el 28 de abril de 2021, la fase 2 trasladó ETH, AXS, SLP, la cría, los reclamos y el mercado a Ronin.^[3][4]

El puente entre Ronin y Ethereum tenía nueve validadores y exigía cinco firmas para un retiro. Un informe encargado por el regulador financiero japonés constató que Sky Mavis operaba cuatro nodos. El umbral ocultaba concentración: una sola organización ya controlaba cuatro de las cinco firmas que necesitaba un atacante.^[6]

3. El PDF malicioso y un permiso que quedó activo

Los atacantes no rompieron la criptografía de Ethereum. Una evaluación del Tesoro de Estados Unidos dice que personas vinculadas con Corea del Norte enviaron un PDF con malware a un solo ingeniero y aprovecharon ese acceso para llegar a cuatro de los cinco nodos necesarios para controlar el puente.^[7]

El ataque contra una sola persona se convirtió en un fallo de red porque el acceso comprometido alcanzó cuatro nodos validadores operados por Sky Mavis. Un documento malicioso adquirió escala de puente porque esos cuatro nodos no funcionaban como líneas de defensa independientes.^[7]

La quinta firma llegó mediante una antigua configuración del validador de Axie DAO. Durante una sobrecarga en noviembre de 2021, la DAO permitió que Sky Mavis firmara en su nombre para ofrecer transacciones gratuitas. La medida terminó en diciembre, pero no se eliminó la lista de autorización de firmas delegadas.^[6]

El informe encargado por la FSA vincula el compromiso del validador de la DAO con el permiso de firma delegada que permaneció activo tras terminar la medida temporal. Esa autorización extendió el efecto de la brecha de Sky Mavis a la quinta firma necesaria para un retiro.^[6]

4. Dos retiros y seis días sin detección

El 23 de marzo de 2022, el puente registró dos retiros no autorizados: 173.600 ETH a las 13:29:09 UTC y 25,5 millones de USDC a las 13:31:04 UTC. Las marcas de tiempo difieren en un minuto y 55 segundos.^[9][10]

El informe encargado por la FSA japonesa valoró los activos en $620,1 millones en ese momento. En mayo de 2022, el Tesoro estadounidense describió la operación de Lazarus como el mayor robo de moneda virtual hasta la fecha y estimó casi $620 millones. La expresión recoge la escala que el Tesoro atribuía al caso en mayo de 2022.^[6][8]

La brecha no se descubrió hasta el 29 de marzo, cuando un usuario no pudo retirar ETH. Ya habían pasado seis días desde las transacciones no autorizadas. Al reabrir, el puente incorporó cortacircuitos y límites diarios para impedir que otro retiro grande avanzara sin control.^[6][11]

5. Usuarios reembolsados, la excepción de la DAO y la meta de 21 validadores

El 14 de abril de 2022, Estados Unidos vinculó la dirección con el Lazarus Group norcoreano; una medida del Tesoro en mayo reiteró la atribución e identificó el robo de Ronin del 23 de marzo.^[8]

Sky Mavis anunció una ronda de $150 millones liderada por Binance, pero después actualizó la publicación para aclarar que solo se recaudaron $11 millones. La empresa dijo que usó su propio balance para recapitalizar el puente. Al reabrir, las obligaciones de WETH y USDC con usuarios comunes quedaron respaldadas, mientras 56.000 WETH de la tesorería de Axie DAO siguieron sin respaldo suficiente, pendientes de recuperación o decisión de la DAO. Antes de la reapertura de junio, Binance había ofrecido desde el 2 de abril una vía alternativa para quienes podían usar su servicio, respaldada por liquidez de Axie Infinity y sus fundadores.^[5][11]

Asumimos toda la responsabilidad por la brecha.^[5]

— Sky Mavis, 6 de abril de 2022

Ronin reabrió con un umbral de firmas mayor, límites de retiro, cortacircuitos y revisión humana de transferencias grandes. Sky Mavis también fijó la meta de alcanzar al menos 21 nodos validadores independientes en tres meses y empezó a incorporar a Nansen, Delphi Digital, Stable Node, Animoca Brands y Dialectic. La cifra de 21 era un objetivo del plan de recuperación, no el número ya operativo.^[11][12]