全球最火NFT游戲一夜之間遭劫：玩家6.25億美元打了水漂
加入技術(shù)交流群
在大肆鼓吹Web 3繁榮之前，需要首先解決的是去中心化系統(tǒng)的安全問題。
——
文｜Juny 編輯｜VickyXiao
最近Web 3領(lǐng)域發(fā)生了一件震驚全行業(yè)的大事件。 3月29日，目前世界規(guī)模最大、最受追捧的區(qū)塊鏈游戲Axie Infinity被曝遭到了黑客入侵，造成了17.36萬枚以太坊和2550萬個(gè)的穩(wěn)定幣USDC被盜。此次的黑客攻擊事件，直接導(dǎo)致的損失將高達(dá)約6.25億美元，創(chuàng)下了去中心化金融（DeFi）系統(tǒng)有史以來的最大攻擊記錄。 值得注意的是，這并不是DeFi系統(tǒng)第一次遭受攻擊，過去一年來DeFi上的攻擊盜竊案頻發(fā)。就在兩個(gè)月前，另一個(gè)區(qū)塊鏈橋Wormhole 才剛被攻擊損失了超過 3 億美元。上個(gè)月，Axie Infinity剛打破了40億美元的NFT銷售記錄，奪得了世界最大NFT游戲的寶座，業(yè)界猜測也正因如此才讓它成為了黑客的重點(diǎn)攻擊對象。 此次巨額的攻擊事件，導(dǎo)致了Axie Infinity相關(guān)數(shù)字資產(chǎn)價(jià)格斷崖下跌，其中Ron代幣單日下跌了22%、AXS下跌了約9%，同時(shí)也再次把去中心化金融系統(tǒng)的安全問題擺上了臺面。很多人表示，如果用戶的基本資產(chǎn)安全都不能得到保障，什么NFT、鏈游就都只是一場空談。
圖片來自Reddit，版權(quán)屬于原作者
對于不太關(guān)注Web 3或者區(qū)塊鏈游戲的朋友來說，可能看到這里還是會感覺一頭霧水。Axie Infinity到底是一款什么樣的游戲，為什么一款游戲被攻擊能造成如此巨額的損失，黑客又是如何攻擊去中心化金融系統(tǒng)的呢？ ｜區(qū)塊鏈版“寵物小精靈”， 一款可以幫你賺錢的游戲 相信每一個(gè)游戲愛好者都有一個(gè)愿望，世界上能不能有一款游戲，在很好玩的同時(shí)又能夠幫自己掙錢。以前，這種事情可能只會發(fā)生在萬一挑一的職業(yè)電競選手身上，但Axie Infinity則為普通人開辟了一條全新的道路。 Axie Infinity于2018年誕生，由越南工作室Sky Mavis創(chuàng)立。當(dāng)時(shí)Axie團(tuán)隊(duì)想，市面上的游戲都是需要玩家花大量時(shí)間甚至金錢去玩，游戲的主要功能是娛樂，那可不可以創(chuàng)造出一款游戲，能把玩家付出的精力和時(shí)間轉(zhuǎn)化成現(xiàn)實(shí)的經(jīng)濟(jì)效益。于是他們基于以太坊，開發(fā)了一款融合了《寵物小精靈》、《最終幻想》和《放置奇兵》等經(jīng)典玩法的游戲Axie Infinity，并開創(chuàng)了一種全新的游戲模式——Play to Earn。
簡單來說，Axie Infinity就是一個(gè)數(shù)字寵物世界，游戲的主角是類似于寵物小精靈的各種Axie，玩家既可以通過收集、訓(xùn)練自己的Axie們來與其他玩家的Axie們戰(zhàn)斗，也可以將其作為寵物撫養(yǎng)和交易。在支付起始費(fèi)用后，玩家可以通過玩游戲賺取基于以太坊的游戲內(nèi)代幣，Axie Infinity則允許他們每十四天兌現(xiàn)他們的代幣。 這款游戲在2018年剛推出時(shí)并沒有得到很多關(guān)注，一直到2019年底新冠疫情爆發(fā)，Axie Infinity開始在以菲律賓為代表的東南亞地區(qū)迅速走紅。突然爆紅的原因也很簡單，當(dāng)時(shí)很多人因?yàn)橥蝗坏木蛹腋綦x而失業(yè)，而他們發(fā)現(xiàn)這款游戲真的可以幫他們賺錢。 由于東南亞地區(qū)的收入水平并不發(fā)達(dá)，這些東南亞玩家通過日夜玩Axie Infinity，發(fā)現(xiàn)月收入居然可以達(dá)到400美元，甚至超過了當(dāng)?shù)氐钠骄べY。家里蹲著也是蹲著，所以，大到年過7旬的老人、小到幾歲的兒童就都開始玩Axie。有意思的是，這些玩家基本上都不懂什么是區(qū)塊鏈、什么是加密貨幣，他們只知道在游戲里的這些資產(chǎn)最后能夠換成真錢。 但是，要玩Axie也是有門檻的，玩家必須得先花錢在Axie市場上購買至少3只Axie才能開始游戲。2019年初，3只Axie玩家只需要花費(fèi)幾美元就能買到，但到了2020年2月，3只Axie的價(jià)格已經(jīng)漲到了約400美元。
為了解決高昂的入門費(fèi)用、鼓勵(lì)更多玩家參與，Axie Infinity團(tuán)隊(duì)設(shè)計(jì)出了一項(xiàng)“獎(jiǎng)學(xué)金計(jì)劃”， 通過租號的形式，將賬號免費(fèi)借給玩家，并通過社區(qū)培訓(xùn)人們?nèi)绾瓮ㄟ^Axie Infinity賺錢，最后把取得的收益和玩家37分成（玩家占7成）。很快，在“獎(jiǎng)學(xué)金計(jì)劃”之下，Axie Infinity的社區(qū)迅速壯大，這些社區(qū)也成為了Axie Infinty走向全球的重要推動力。
關(guān)于Axie Infinity在菲律賓大火的報(bào)道，圖片來源于網(wǎng)絡(luò) 2020年6月，Sky Mavis帶著這種全新“Play to earn”模式和在東南亞地區(qū)的成績單入駐了育碧的游戲孵化器，并在11月獲得了美國加密貨幣投資公司Delphi Digital的86萬美元的首筆融資。而在Delphi Digital的幫助下，Axie Infinity進(jìn)一步理順了游戲的經(jīng)濟(jì)系統(tǒng)和生態(tài)體系。 ｜復(fù)雜而精巧的游戲設(shè)計(jì)，打造完備的經(jīng)濟(jì)生態(tài) Axie Infinity中的資產(chǎn)一共有兩大類，一是以Axie小精靈和Lunacia土地為代表的NFT，二是以SLP和AXS為代表的游戲內(nèi)代幣。 其中，游戲中玩家最核心的資產(chǎn)是NFT形式的Axie小精靈們。跟寵物小精靈的設(shè)定類似，這些Axies被劃分成了不同的屬性，目前包含爬行系、植物系、暗夜系、水系、飛行系、光系、機(jī)械系、昆蟲系和野獸系這九大種類。 根據(jù)屬性的不同，這些Axie的身體構(gòu)成與技能卡牌也不同，這些技能不僅能讓不同的Axie在對戰(zhàn)中發(fā)揮出不同攻擊力，也給Axie帶來了非同質(zhì)性和稀缺性，直接導(dǎo)致了Axie們市場價(jià)格的不同。根據(jù)Axie infinity官網(wǎng)數(shù)據(jù)顯示，價(jià)格最高的Axie，售價(jià)已經(jīng)高達(dá)300個(gè)以太坊，約800萬人民幣。 
Axie的種類，圖片來自Delphi Digital 此外，小精靈們生活的土地也被NFT化了。被稱為Lunacia 的大陸被劃分成了301x301 的網(wǎng)格，每個(gè)方塊代表一塊土地，玩家可以購買、出租和開發(fā)。大陸目前分為5個(gè)等級，分別是：薩凡納、森林、北極、神秘和創(chuàng)世紀(jì)，由邊緣到中心分布，地塊供應(yīng)由多到少價(jià)格也越來越高。擁有土地之后，玩家可以用來養(yǎng)育小精靈并進(jìn)行自主設(shè)計(jì)和開發(fā)，具有極強(qiáng)的開放性特征。 去年11月，一塊創(chuàng)世紀(jì)土地以550個(gè)以太坊（約250萬美元）的價(jià)格售出，刷新了Axie Infinity的土地銷售記錄。 在代幣方面，整個(gè)游戲中主要有兩種的代幣類型——SLP和AXS。SLP（Smooth Love Potion）屬于獎(jiǎng)勵(lì)型代幣，玩家在用Axie進(jìn)行PVE（機(jī)器對戰(zhàn)）或者PVP（真人對戰(zhàn)）時(shí)，都可以獲得一定的SLP獎(jiǎng)勵(lì)，每日獲得的SLP上限是75枚。AXS則是專門用來繁殖和培育Axie的代幣，只能通過每月排位的獎(jiǎng)勵(lì)和購買土地后產(chǎn)出，只有排名最高的一部分玩家可以獲得AXS代幣獎(jiǎng)勵(lì)。 玩家既可以在游戲內(nèi)用這些代幣來收集和培養(yǎng)更多以及更強(qiáng)的Axie，同時(shí)也可以選擇將手上的這兩種代幣在市場上售出來換取真錢，它們價(jià)格也會根據(jù)市場實(shí)時(shí)變化。過去一年，AXS的漲幅高達(dá)1035%。 
AXS的價(jià)格****，圖片來自Coingecko 總體來看，目前在Axie infinity上賺錢的方式主要有以下幾種：一是通過Axie參加戰(zhàn)斗，贏得排行榜上的獎(jiǎng)項(xiàng)；二是自己培育Axies并在市場上出售；三是收集和投資稀有的Axie和土地；四是通過在市場上轉(zhuǎn)賣SLP和AXS獲取收益。 Axie Infinity的創(chuàng)始團(tuán)隊(duì)曾表示，他們希望通這樣一種有趣的方式向世界介紹區(qū)塊鏈技術(shù)。他們的最終設(shè)想是把Axie Infinity變成一個(gè)集社交網(wǎng)絡(luò)、交易市場、對戰(zhàn)空間、寵物繁育等多種功能于一體的開放世界游戲，他們會把逐步內(nèi)容生產(chǎn)的權(quán)利交給玩家，讓他們從用戶變成真正的所有者，不僅可以控制游戲中的道具，還可以決定游戲的未來。Axie的“卡牌”對戰(zhàn)模式 “當(dāng)玩家參與到游戲經(jīng)濟(jì)、創(chuàng)造游戲內(nèi)容之中，并為其他玩家和開發(fā)者創(chuàng)造更多價(jià)值時(shí)，Axie Infinity才會成為理想意義上去中心化的Web3.0游戲?！盨ky Mavis的聯(lián)合創(chuàng)始人Jeff Zirlin表示。 在這樣一套兼具娛樂性和盈利性的模式之上，Axie Infinity也在過去一年迅速破圈，主要玩家從東南亞迅速遍及全球各地，走上了一路開掛的發(fā)展之路。2021年4月，Axie Infinity的日活用戶才僅有3.8萬人，到了2021年底，月活用戶已經(jīng)接近300萬。2021年8月，Axie Infinity的單月收入達(dá)到了3.34億美元，遠(yuǎn)超同期《王者榮耀》2.31億美元的收入規(guī)模。 今年2月底，Axie Infinity的NFT歷史銷售額突破了40億美元，也成為了全球首款銷售額破40億的NFT游戲。 ｜高達(dá)6.25億美元的攻擊是怎么發(fā)生的？ 在充分了解Axie Infinity是什么之后，我們再回到文章開頭的這場攻擊。 就像前文所說，Axie Infinity是一款基于區(qū)塊鏈的游戲，所以，無論時(shí)Axie這些NFT還是SLP和AXS這些資產(chǎn)，其實(shí)都是存在于鏈上的。而此次遭受攻擊的地方，就是在用以架接Axie游戲資產(chǎn)和以太坊的Ronin跨鏈橋上。 Ronin 是Sky Mavis一條專為 Axie Infinity 生態(tài)設(shè)計(jì)的一條以太坊側(cè)鏈，它允許用戶在以太坊和 Axie之間來回發(fā)送加密貨幣，旨在解決以太坊網(wǎng)絡(luò)交易費(fèi)高和擴(kuò)大NFT交易容量的作用，并配套推出了Ronin加密錢包。Ronin目前是 Axie Infinity 游戲的最重要基礎(chǔ)設(shè)施，Axie Infinity游戲內(nèi)所有的可交易資產(chǎn)包括Axie 小精靈、土地、SLP、AXS 等都在上面流轉(zhuǎn)。
圖片截自于《Axie Infinity白皮書》為了達(dá)成更高效交易的目的，Ronin采用的是PoA (Proof of Authority) 的共識機(jī)制，并用了更少的驗(yàn)證節(jié)點(diǎn)（目前是 9 個(gè)）來獲得更快的轉(zhuǎn)賬速度。按照Ronin的設(shè)計(jì)，如果需要存款或取款，需要驗(yàn)證九個(gè)節(jié)點(diǎn)中的五個(gè)。 根據(jù)Sky Mavis昨天發(fā)布的公告顯示，此次的攻擊者通過了Ronin的無Gas RPC 節(jié)點(diǎn)發(fā)現(xiàn)了一個(gè)后門，并通過這個(gè)后門設(shè)法控制了 Sky Mavis 的四個(gè) Ronin 驗(yàn)證器和一個(gè)由 Axie DAO 運(yùn)行的第三方驗(yàn)證器，從而完成了大量資產(chǎn)的提取。而實(shí)際上，這個(gè)攻擊早在3月23日就發(fā)生了，但一直到3月29日有用戶表示無法提取5000 枚以太坊時(shí)才發(fā)現(xiàn)了資產(chǎn)已經(jīng)被盜空。
目前，Sky Mavis 已經(jīng)將 Ronin 的驗(yàn)證器門檻從 5 個(gè)提高到了 8 個(gè)，并進(jìn)一步分散和增加了驗(yàn)證器總數(shù)。此次被盜的資產(chǎn)一部分是玩家的資產(chǎn)，另一部分是Axie Infinity的官方儲備資產(chǎn)。對于用戶的損失，Sky Mavis今日表示雖然被盜資產(chǎn)很難追回，但Axie將盡力補(bǔ)償用戶，可能的方式包括以折扣價(jià)向這些用戶出售代幣或者從擁有16億美元資產(chǎn)的Axie社區(qū)“金庫”中提取資金來償還。
實(shí)際上，最近一兩年來，去中心化金融網(wǎng)絡(luò)上的盜竊案頻發(fā)。截至目前，Defi上的各種攻擊加起來的損失總額已經(jīng)高達(dá)幾十億美元，大部分被盜的原因都是因?yàn)橹悄芎霞s漏洞或者私鑰被黑。而因?yàn)閿?shù)字資產(chǎn)一旦被盜取、轉(zhuǎn)贈、交易后就很難追回，往往讓遭受損失的用戶求告無門。
圖片來自Bloomberg，版權(quán)屬于原作者由于目前大部分區(qū)塊鏈游戲玩家們都不是加密領(lǐng)域的專家，只是沖著玩游戲和賺錢來的，他們的安全意識不強(qiáng)、安全驗(yàn)證設(shè)置也并不完備。此前就有很多Axie Infinity的玩家的SLP、AXS被別人轉(zhuǎn)走、Axie小精靈未經(jīng)允許就被贈送的情況發(fā)生，而他們的游戲資產(chǎn)被轉(zhuǎn)走后立刻就被放在了市場上進(jìn)行交易。 “非區(qū)塊鏈游戲雖然不能幫人賺錢，但目前在安全性上是遠(yuǎn)高于去中心化的游戲的，即使游戲號被盜、資產(chǎn)被黑，也可以通過游戲公司的客服、技術(shù)支持來幫忙找回。區(qū)塊鏈游戲未來想要走向大眾，可能首先要解決的就是安全問題和信任問題?！币晃挥螒虬l(fā)燒友告訴硅星人。
注：封面圖來自于Axie Infinity，版權(quán)屬于原作者。如果不同意使用，請盡快聯(lián)系我們，我們會立即刪除。
*博客內(nèi)容為網(wǎng)友個(gè)人發(fā)布，僅代表博主個(gè)人觀點(diǎn)，如有侵權(quán)請聯(lián)系工作人員刪除。
