最近Web 3領域發生了一件震驚全行業的大事件。
3月29日，目前世界規模最大、最受追捧的區塊鍊遊戲Axie Infinity被曝遭到了黑客入侵，造成了17.36萬枚以太坊和2550萬個的穩定币USDC被盜。此次的黑客攻擊事件，直接導緻的損失将高達約6.25億美元，創下了去中心化金融（DeFi）系統有史以來的最大攻擊記錄。
值得注意的是，這并不是DeFi系統第一次遭受攻擊，過去一年來DeFi上的攻擊盜竊案頻發。就在兩個月前，另一個區塊鍊橋Wormhole 才剛被攻擊損失了超過 3 億美元。上個月，Axie Infinity剛打破了40億美元的NFT銷售記錄，奪得了世界最大NFT遊戲的寶座，業界猜測也正因如此才讓它成為了黑客的重點攻擊對象。
此次巨額的攻擊事件，導緻了Axie Infinity相關數字資産價格斷崖下跌，其中Ron代币單日下跌了22%、AXS下跌了約9%，同時也再次把去中心化金融系統的安全問題擺上了台面。很多人表示，如果使用者的基本資産安全都不能得到保障，什麼NFT、鍊遊就都隻是一場空談。
圖檔來自Reddit，版權屬于原作者
對于不太關注Web 3或者區塊鍊遊戲的朋友來說，可能看到這裡還是會感覺一頭霧水。Axie Infinity到底是一款什麼樣的遊戲，為什麼一款遊戲被攻擊能造成如此巨額的損失，黑客又是如何攻擊去中心化金融系統的呢？
區塊鍊版“寵物小精靈”， 一款可以幫你賺錢的遊戲
相信每一個遊戲愛好者都有一個願望，世界上能不能有一款遊戲，在很好玩的同時又能夠幫自己掙錢。以前，這種事情可能隻會發生在萬一挑一的職業電競選手身上，但Axie Infinity則為普通人開辟了一條全新的道路。
Axie Infinity于2018年誕生，由越南工作室Sky Mavis創立。當時Axie團隊想，市面上的遊戲都是需要玩家花大量時間甚至金錢去玩，遊戲的主要功能是娛樂，那可不可以創造出一款遊戲，能把玩家付出的精力和時間轉化成現實的經濟效益。于是他們基于以太坊，開發了一款融合了《寵物小精靈》、《最終幻想》和《放置奇兵》等經典玩法的遊戲Axie Infinity，并開創了一種全新的遊戲模式——Play to Earn。
簡單來說，Axie Infinity就是一個數字寵物世界，遊戲的主角是類似于寵物小精靈的各種Axie，玩家既可以通過收集、訓練自己的Axie們來與其他玩家的Axie們戰鬥，也可以将其作為寵物撫養和交易。在支付起始費用後，玩家可以通過玩遊戲賺取基于以太坊的遊戲内代币，Axie Infinity則允許他們每十四天兌現他們的代币。
這款遊戲在2018年剛推出時并沒有得到很多關注，一直到2019年底新冠疫情爆發，Axie Infinity開始在以菲律賓為代表的東南亞地區迅速走紅。突然爆紅的原因也很簡單，當時很多人因為突然的居家隔離而失業，而他們發現這款遊戲真的可以幫他們賺錢。
由于東南亞地區的收入水準并不發達，這些東南亞玩家通過日夜玩Axie Infinity，發現月收入居然可以達到400美元，甚至超過了當地的平均工資。家裡蹲着也是蹲着，是以，大到年過7旬的老人、小到幾歲的兒童就都開始玩Axie。有意思的是，這些玩家基本上都不懂什麼是區塊鍊、什麼是加密貨币，他們隻知道在遊戲裡的這些資産最後能夠換成真錢。
但是，要玩Axie也是有門檻的，玩家必須得先花錢在Axie市場上購買至少3隻Axie才能開始遊戲。2019年初，3隻Axie玩家隻需要花費幾美元就能買到，但到了2020年2月，3隻Axie的價格已經漲到了約400美元。
為了解決高昂的入門費用、鼓勵更多玩家參與，Axie Infinity團隊設計出了一項“獎學金計劃”， 通過租号的形式，将賬号免費借給玩家，并通過社群教育訓練人們如何通過Axie Infinity賺錢，最後把取得的收益和玩家37分成（玩家占7成）。很快，在“獎學金計劃”之下，Axie Infinity的社群迅速壯大，這些社群也成為了Axie Infinty走向全球的重要推動力。
關于Axie Infinity在菲律賓大火的報道，圖檔來源于網絡
2020年6月，Sky Mavis帶着這種全新“Play to earn”模式和在東南亞地區的成績單入駐了育碧的遊戲孵化器，并在11月獲得了美國加密貨币投資公司Delphi Digital的86萬美元的首筆融資。而在Delphi Digital的幫助下，Axie Infinity進一步理順了遊戲的經濟系統和生态體系。
複雜而精巧的遊戲設計，打造完備的經濟生态
Axie Infinity中的資産一共有兩大類，一是以Axie小精靈和Lunacia土地為代表的NFT，二是以SLP和AXS為代表的遊戲内代币。
其中，遊戲中玩家最核心的資産是NFT形式的Axie小精靈們。跟寵物小精靈的設定類似，這些Axies被劃分成了不同的屬性，目前包含爬行系、植物系、暗夜系、水系、飛行系、光系、機械系、昆蟲系和野獸系這九大種類。
根據屬性的不同，這些Axie的身體構成與技能卡牌也不同，這些技能不僅能讓不同的Axie在對戰中發揮出不同攻擊力，也給Axie帶來了非同質性和稀缺性，直接導緻了Axie們市場價格的不同。根據Axie infinity官網資料顯示，價格最高的Axie，售價已經高達300個以太坊，約800萬人民币。
Axie的種類，圖檔來自Delphi Digital
此外，小精靈們生活的土地也被NFT化了。被稱為Lunacia 的大陸被劃分成了301x301 的網格，每個方塊代表一塊土地，玩家可以購買、出租和開發。大陸目前分為5個等級，分别是：薩凡納、森林、北極、神秘和創世紀，由邊緣到中心分布，地塊供應由多到少價格也越來越高。擁有土地之後，玩家可以用來養育小精靈并進行自主設計和開發，具有極強的開放性特征。
去年11月，一塊創世紀土地以550個以太坊（約250萬美元）的價格售出，重新整理了Axie Infinity的土地銷售記錄。
在代币方面，整個遊戲中主要有兩種的代币類型——SLP和AXS。SLP（Smooth Love Potion）屬于獎勵型代币，玩家在用Axie進行PVE（機器對戰）或者PVP（真人對戰）時，都可以獲得一定的SLP獎勵，每日獲得的SLP上限是75枚。AXS則是專門用來繁殖和培育Axie的代币，隻能通過每月排位的獎勵和購買土地後産出，隻有排名最高的一部分玩家可以獲得AXS代币獎勵。
玩家既可以在遊戲内用這些代币來收集和培養更多以及更強的Axie，同時也可以選擇将手上的這兩種代币在市場上售出來換取真錢，它們價格也會根據市場實時變化。過去一年，AXS的漲幅高達1035%。
AXS的價格走勢，圖檔來自Coingecko
總體來看，目前在Axie infinity上賺錢的方式主要有以下幾種：一是通過Axie參加戰鬥，赢得排行榜上的獎項；二是自己培育Axies并在市場上出售；三是收集和投資稀有的Axie和土地；四是通過在市場上轉賣SLP和AXS擷取收益。
Axie Infinity的創始團隊曾表示，他們希望通這樣一種有趣的方式向世界介紹區塊鍊技術。他們的最終設想是把Axie Infinity變成一個集社交網絡、交易市場、對戰空間、寵物繁育等多種功能于一體的開放世界遊戲，他們會把逐漸内容生産的權利交給玩家，讓他們從使用者變成真正的所有者，不僅可以控制遊戲中的道具，還可以決定遊戲的未來。
Axie的“卡牌”對戰模式
“當玩家參與到遊戲經濟、創造遊戲内容之中，并為其他玩家和開發者創造更多價值時，Axie Infinity才會成為理想意義上去中心化的Web3.0遊戲。”Sky Mavis的聯合創始人Jeff Zirlin表示。
在這樣一套兼具娛樂性和盈利性的模式之上，Axie Infinity也在過去一年迅速破圈，主要玩家從東南亞迅速遍及全球各地，走上了一路開挂的發展之路。2021年4月，Axie Infinity的日活使用者才僅有3.8萬人，到了2021年底，月活使用者已經接近300萬。2021年8月，Axie Infinity的單月收入達到了3.34億美元，遠超同期《王者榮耀》2.31億美元的收入規模。
今年2月底，Axie Infinity的NFT曆史銷售額突破了40億美元，也成為了全球首款銷售額破40億的NFT遊戲。
高達6.25億美元的攻擊是怎麼發生的？
在充分了解Axie Infinity是什麼之後，我們再回到文章開頭的這場攻擊。
就像前文所說，Axie Infinity是一款基于區塊鍊的遊戲，是以，無論時Axie這些NFT還是SLP和AXS這些資産，其實都是存在于鍊上的。而此次遭受攻擊的地方，就是在用以架接Axie遊戲資産和以太坊的Ronin跨鍊橋上。
Ronin 是Sky Mavis一條專為 Axie Infinity 生态設計的一條以太坊側鍊，它允許使用者在以太坊和 Axie之間來回發送加密貨币，旨在解決以太坊網絡交易費高和擴大NFT交易容量的作用，并配套推出了Ronin加密錢包。Ronin目前是 Axie Infinity 遊戲的最重要基礎設施，Axie Infinity遊戲内所有的可交易資産包括Axie 小精靈、土地、SLP、AXS 等都在上面流轉。
圖檔截自于《Axie Infinity白皮書》
為了達成更高效交易的目的，Ronin采用的是PoA (Proof of Authority) 的共識機制，并用了更少的驗證節點（目前是 9 個）來獲得更快的轉賬速度。按照Ronin的設計，如果需要存款或取款，需要驗證九個節點中的五個。
根據Sky Mavis昨天釋出的公告顯示，此次的攻擊者通過了Ronin的無Gas RPC 節點發現了一個後門，并通過這個後門設法控制了 Sky Mavis 的四個 Ronin 驗證器和一個由 Axie DAO 運作的第三方驗證器，進而完成了大量資産的提取。而實際上，這個攻擊早在3月23日就發生了，但一直到3月29日有使用者表示無法提取5000 枚以太坊時才發現了資産已經被盜空。
目前，Sky Mavis 已經将 Ronin 的驗證器門檻從 5 個提高到了 8 個，并進一步分散和增加了驗證器總數。此次被盜的資産一部分是玩家的資産，另一部分是Axie Infinity的官方儲備資産。對于使用者的損失，Sky Mavis今日表示雖然被盜資産很難追回，但Axie将盡力補償使用者，可能的方式包括以折扣價向這些使用者出售代币或者從擁有16億美元資産的Axie社群“金庫”中提取資金來償還。
實際上，最近一兩年來，去中心化金融網絡上的盜竊案頻發。截至目前，Defi上的各種攻擊加起來的損失總額已經高達幾十億美元，大部分被盜的原因都是因為智能合約漏洞或者私鑰被黑。而因為數字資産一旦被盜取、轉贈、交易後就很難追回，往往讓遭受損失的使用者求告無門。
圖檔來自Bloomberg，版權屬于原作者
由于目前大部分區塊鍊遊戲玩家們都不是加密領域的專家，隻是沖着玩遊戲和賺錢來的，他們的安全意識不強、安全驗證設定也并不完備。此前就有很多Axie Infinity的玩家的SLP、AXS被别人轉走、Axie小精靈未經允許就被贈送的情況發生，而他們的遊戲資産被轉走後立刻就被放在了市場上進行交易。
“非區塊鍊遊戲雖然不能幫人賺錢，但目前在安全性上是遠高于去中心化的遊戲的，即使遊戲号被盜、資産被黑，也可以通過遊戲公司的客服、技術支援來幫忙找回。區塊鍊遊戲未來想要走向大衆，可能首先要解決的就是安全問題和信任問題。”一位遊戲發燒友告訴矽星人。