7月のWeb3セキュリティ事件の振り返り：総損失約2.79億ドル

著者：慢雾セキュリティチーム

概要

慢雾ブロックチェーンハッキングアーカイブ (https://hacked.slowmist.io) の統計によると、2024年7月には37件のセキュリティ事件が発生し、総損失は約2.79億ドルで、そのうち876万ドルが返還されました。今月のセキュリティ事件の原因は、契約の脆弱性、アカウントのハッキング、逃亡、ドメインハイジャックなどに関連しています。

主な事件

Bittensor

2024年7月2日、分散型AIプロジェクトBittensorが攻撃を受け、一部のBittensorウォレットユーザーが盗まれ、攻撃者は約3.2万TAOを盗み、市場価値で約800万ドルに相当します。チェーン上の探偵ZachXBTは、この攻撃はプライベートキーの漏洩によるものと考えていますが、Bittensorは後に影響を受けたユーザーが実際には悪意のあるBittensorソフトウェアパッケージがPythonのPyPiパッケージマネージャーにアップロードされたことによって攻撃を受けたと述べました。

Authy

2024年7月5日、慢雾の最高情報セキュリティ責任者23pdsがツイートし、2FAサービスAuthyが攻撃を受け、3300万ユーザーの電話番号が盗まれたと報告しました。公式開発者Twilioはこの脆弱性を確認しており、多くのWeb3ユーザーがこの2FAソフトウェアを使用しているため、資産の安全に注意してください。

(https://x.com/im23pds/status/1809047195750183257)

Doja Cat

2024年7月8日、ラッパーDoja CatのXアカウントがハッキングされ、攻撃者は彼女のアカウントを使用してmemecoinを宣伝するツイートを投稿しました。Doja Catはその後、Instagramで彼女のXアカウントがハッキングされたと投稿しました。

Compound

2024年7月11日、Compound DAOのセキュリティアドバイザーMichael Lewellenがツイートし、Compound Financeの公式サイトが攻撃を受け、現在フィッシングサイトがホスティングされていると報告しました。

(https://x.com/LewellenMichael/status/1811303839888261530)

LI.FI

2024年7月16日、慢雾セキュリティチームが監視したところ、クロスチェーンブリッジアグリゲーションプロトコルLI.FIで疑わしい取引が発生し、ユーザーは1000万ドル以上の損失を被りました。7月18日、LI.FIはセキュリティ事件報告を発表し、この脆弱性は取引の検証時に発生した問題に起因し、プロトコルと複数の分散型取引所および他のDeFiプロトコルで使用される共有LibSwapコードベースとの相互作用に関連していると述べました。監視デプロイメント中に発生した人的エラーが原因です。影響を受けたウォレットは153個と推定され、損失は約1160万ドルのUSDC、USDT、DAIステーブルコインに相当します。

(https://x.com/SlowMist_Team/status/1813195343057866972)

WazirX

2024年7月18日、インドの暗号通貨取引所WazirXがXでネットワーク攻撃の初期調査結果を発表し、同社のマルチシグウォレットにセキュリティ脆弱性が発生し、顧客資金の約45%に相当する2.3億ドル以上の損失が発生したと報告しました。

(https://x.com/WazirXIndia/status/1813843289940058446)

Rho Markets

2024年7月19日、貸付プロトコルRho Marketsは、オラクルの設定ミスによりMEVボットに2203 ETH、約760万ドルがアービトラージされたと報告しました。同日、チェーン上の探偵ZachBXTが監視したところ、MEVボットの所有者がRho Marketsチームに対して、彼らのMEVボットがRho Marketsの価格オラクルの設定ミスを利用して利益を上げたと述べ、全額返還する意向を示しました。

(https://scrollscan.com/tx/0xd9c2e4f0364b13ada759f2dd56b65f5025e70cce4373e7c57ac31bf5226023e0)

Casper Network

2024年7月26日、Casper Networkが攻撃を受け、その後Casper Networkはこのセキュリティ脆弱性の影響を最小限に抑えるために、検証者と協力してネットワークを一時停止したとツイートしました。このセキュリティ事件に関する初期報告によると、13個のウォレットが影響を受け、不正取引の総額は約670万ドルです。Casper Networkは、攻撃者がurefへのアクセス権チェックを回避することを可能にする脆弱性を利用したことを発見し、その結果、契約がurefベースのリソースへのアクセス権を付与できるようになりました。

(https://x.com/Casper_Network/status/1817145818631098388)

Terra

2024年7月31日、Terraチェーンが攻撃を受け、攻撃者は第三者モジュールIBCフックに関連する既知の脆弱性を利用してTerraチェーン上で複数のトークンを鋳造し、528万ドルの損失を引き起こしました。Terraチームはさらなる損失を防ぐために緊急措置を講じ、検証者が脆弱性を修正するためのパッチを適用するよう調整しました。Sommelier Financeの共同創設者Zaki Manianによれば、この脆弱性は4月にCosmosエコシステムで修正されていたが、Terraの6月のアップグレードにはこのパッチが含まれておらず、再び脆弱性が露呈し、悪用される結果となったとのことです。

(https://x.com/terra_money/status/1818498438759411964)

同日、分散型取引プロトコルAstroportはXでセキュリティ事件の更新を発表しました：攻撃者のNeutron上のASTROはAstroport Treasuryに押収され、攻撃者のTerraアドレスはブラックリストに登録され、取引ができなくなりました；IBC Hookの脆弱性は修正され、公式はTerraチームと密接に協力して解決策を模索し続けます。

まとめ

今月、データセキュリティの問題が再び私たちの視界に戻ってきました。7月1日、Protosの報道によると、暗号に優しい銀行Evolve Bank & Trustは、約1ヶ月前に約33TBのユーザーデータが盗まれたことを認めました。このようなセキュリティ事件は、身分盗用、アカウントのハッキング、資金の損失などの結果を引き起こす可能性があるため、慢雾セキュリティチームはユーザーにフィッシング攻撃に注意し、定期的にパスワードを更新し、複数のプラットフォームで同じパスワードを使用しないように警告しています。

memecoinの熱潮に伴い、プロジェクトチームや有名人のアカウントがハッキングされる事件が頻発しており、攻撃者はプロジェクトチームや有名人の影響力を利用して、Xアカウントを盗んだ後にフィッシングリンクを含むツイートや特定のトークンを宣伝することがあります。ユーザーは識別に注意し、慎重に投資するようにしてください。私たちは慢雾：Xアカウントのセキュリティチェック強化ガイドでXアカウントのセキュリティを向上させる方法を説明しています。リンクをクリックすると、読むことができます。

最近、複数のドメインハイジャック事件が発生しており、プロジェクトチームは以下の対策を講じてドメインハイジャックを防ぎ、ウェブサイトとユーザーの安全を確保することができます：

• 信頼できるドメイン登録業者を選択し、ドメインハイジャックのリスクを低減する；
• 定期的にドメインの状態、DNS設定、その他の関連設定を確認および監視する；
• 関連者がドメインハイジャックのリスクと防止策を理解し、一般的なフィッシング手法やソーシャルエンジニアリング攻撃を識別する能力を身につけ、機密情報の漏洩を防ぐ；
• ドメインがハイジャックされた場合に迅速に反応し、影響範囲を制御できるように緊急対応計画を策定する。