El juego que alimentó familias y perdió 5 llaves: El hackeo de $620M al puente Ronin de Axie y la sombra de Lazarus

1. El milagro de Cabanatuan: Nace el 'Play-to-Earn'

En 2020, mientras la pandemia de COVID-19 paralizaba la economía global, un fenómeno insólito transformaba la provincia de Cabanatuan en Filipinas. Residentes que habían perdido sus empleos utilizaban sus teléfonos móviles para criar criaturas digitales, combatir y comprar alimentos básicos y medicinas con las ganancias. Era Axie Infinity, creado por el estudio vietnamita Sky Mavis.

El motor del juego era el modelo Play-to-Earn (Jugar para ganar): los jugadores obtenían tokens SLP (Smooth Love Potion) y AXS, que podían canjearse en exchanges por dinero fiduciario.

Dado que adquirir los tres monstruos iniciales costaba cientos de dólares, nació el sistema de 'Becas' (Scholarships): inversores adquirían los NFTs y los prestaban a jugadores a cambio de un porcentaje de las ganancias. En países con salarios medios de 200 a 300 dólares, jugadores que ganaban más de 1.000 dólares al mes convirtieron a Axie en un fenómeno con más de 2,8 millones de usuarios activos diarios (DAU).

2. Escapando del infierno de las comisiones: El atajo de Ronin

El crecimiento meteórico chocó pronto con los límites físicos de Ethereum. Cada reproducción o transferencia costaba entre 50 y 100 dólares en comisiones de gas, haciendo insostenibles las microtransacciones para los jugadores del Sudeste Asiático.

En respuesta, Sky Mavis lanzó en abril de 2021 Ronin, una sidechain compatible con EVM que redujo las tarifas a fracciones de centavo y aceleró las transacciones a pocos segundos.

Sin embargo, para lograr un desarrollo acelerado, el equipo asumió un compromiso fatal en la seguridad. El Puente Ronin—que custodiaba cientos de millones de dólares en depósitos—fue protegido por solo nueve nodos validadores, requiriéndose únicamente cinco firmas (5 de 9) para autorizar retiradas masivas.

3. El troyano de LinkedIn: Cinco llaves maestras vulneradas

Cuando el puente de Ronin superó los 1.000 millones de dólares en depósitos, la unidad de ciberdelincuencia estatal de Corea del Norte, el Lazarus Group, fijó su objetivo. Su método no fue una vulnerabilidad criptográfica, sino una meticulosa campaña de spear-phishing.

A principios de 2022, operativos de Lazarus contactaron por LinkedIn a un ingeniero sénior de Sky Mavis haciéndose pasar por reclutadores con atractivas ofertas salariales. Tras varias entrevistas técnicas simuladas, le enviaron una oferta laboral formal en un archivo PDF por correo electrónico.

Cuando el ingeniero abrió el documento en un equipo corporativo, un spyware infectó la red, permitiendo a los atacantes extraer cuatro claves privadas de validadores gestionadas por Sky Mavis.

Para conseguir la quinta firma, los atacantes descubrieron una puerta trasera desatendida: en noviembre de 2021, durante un pico de tráfico, Sky Mavis había incluido en una lista blanca un nodo validador de Axie DAO con acceso RPC sin comisiones. El permiso nunca había sido revocado. A través de este acceso, Lazarus obtuvo la quinta firma, logrando el control total de la bóveda.

4. El vacío de 620 millones: Seis días sin ser detectado

El 23 de marzo de 2022, con cinco firmas legítimas en su poder, Lazarus ejecutó dos transacciones de retirada fraudulentas en el contrato de Ronin.

La primera extrajo 173.600 ETH y la segunda 25,5 millones de USDC. En menos de diez minutos desaparecieron 620 millones de dólares hacia monederos controlados por los atacantes: el mayor robo individual en la historia de las criptomonedas.

Lo más asombroso fue que durante seis días completos nadie en Sky Mavis ni en la comunidad se percató del robo. El puente carecía de alarmas automatizadas o disyuntores de emergencia. La sustracción se descubrió el 29 de marzo solo cuando un usuario intentó retirar 5.000 ETH y la transacción falló porque la bóveda estaba vacía.

5. Reembolso del 100% y la lección de los atajos

La noticia causó conmoción en todo el ecosistema Web3. El 14 de abril de 2022, el FBI atribuyó formalmente el ataque al Lazarus Group y APT38.

Sky Mavis asumió la responsabilidad. El cofundador Trung Nguyen prometió que ningún usuario perdería sus fondos. La empresa cerró una ronda de financiación de emergencia de 150 millones de dólares liderada por Binance y utilizó sus reservas para reembolsar el 100% de los fondos a todos los afectados, reabriendo el puente el 28 de junio de 2022.

Asumimos la total responsabilidad por esta brecha. Hemos aprendido la lección más costosa en la historia de Web3: no existen atajos para la descentralización y la seguridad.

— Comunicado oficial de Sky Mavis (Abril de 2022)

Sky Mavis rediseñó Ronin por completo, elevando los validadores a 21 entidades independientes e implementando un sistema de revisión manual con retraso de 7 días para retiradas de gran volumen. El hackeo de Ronin permanece como un recordatorio indeleble de que la velocidad jamás puede anteponerse a la seguridad de los usuarios.