11月のWeb3セキュリティ事件のまとめ：総損失約8,624万ドル

著者：慢雾セキュリティチーム

概要

2024年11月、Web3セキュリティ事件の総損失は約8,624万ドルに達しました。その中で、慢雾ブロックチェーンハッキングアーカイブ (https://hacked.slowmist.io) の統計によると、合計21件のハッキング事件が発生し、約7,686万ドルの損失があり、2,550万ドルが返還されました。事件の原因は、契約の脆弱性、アカウントのハッキング、価格操作などが含まれます。また、Web3反詐欺プラットフォームScam Snifferの統計によると、今月は9,208名のフィッシング事件の被害者が出ており、損失規模は938万ドルに達しています。

(https://dune.com/scam-sniffer/november-scam-sniffer-2024-phishing-report)

セキュリティ大事件

MetaWin

2024年11月4日、チェーン上の探偵ZachXBTの監視によると、暗号賭博プラットフォームMetaWinが攻撃を受け、EthereumとSolanaチェーン上で400万ドル以上が盗まれた疑いがあります。MetaWinのCEO Skelによれば、攻撃者はプラットフォームのフリクションレス引き出しシステムを通じてMetaWinのホットウォレットに侵入しました。

DeltaPrime

2024年11月11日、DeFiプロトコルDeltaPrimeがAvalancheとArbitrum上で攻撃を受け、DeltaPrimeは初期の損失を475万ドルと見積もっています。この攻撃の根本的な原因は、報酬受取機能に入力検証が欠如していたことです。

(https://x.com/DeltaPrimeDefi/status/1855899502944903195)

Thala

2024年11月15日、AptosベースのDeFiプロジェクトThalaが攻撃を受け、2,550万ドルが盗まれました。攻撃者はそのスマートコントラクトの脆弱性を利用しました。プロジェクト側は関連するスマートコントラクトを一時停止し、一部のトークンを凍結し、最終的に約1,150万ドルの資産を凍結することに成功しました。法執行機関や複数のブロックチェーンセキュリティチームと協力した結果、プロジェクト側は資産の回収に成功し、攻撃者には30万ドルを報酬として保持することを許可しました。

(https://x.com/thalalabs/status/1857703541089120541?s=46\&t=bcMyidYO0QkS5ajIW9CBdg)

DEXX

2024年11月16日、チェーン上の取引端末DEXXの複数のユーザーの資金が盗まれました。慢雾セキュリティチームの統計によると、この事件の損失規模はすでに2,100万ドルに達しています。現在、慢雾セキュリティチームはDEXXの公式およびパートナーと協力して分析を続けています。11月28日、慢雾セキュリティチームはSolanaチェーン上の8,612件のDEXX攻撃者アドレスを収集したことを発表し、EVMチェーン上の攻撃者アドレスも洗浄統計が完了次第公開される予定です。

(https://x.com/MistTrack_io/status/1862134946090881368)

Polter Finance

2024年11月17日、FantomベースのDeFiプロジェクトPolter Financeが攻撃を受け、約1,200万ドルの損失が発生しました。攻撃者はフラッシュローンを利用してBOOのトークン準備を枯渇させ、BOOの計算価格を人為的に引き上げました。これにより、担保の実際の価値を大幅に超えるトークンを借り出し、巨額の利益を得ることができました。このプラットフォームの創設者は、シンガポール当局に報告を提出し、攻撃者と連絡を取って資金の返還を交渉しようとしましたが、まだ応答は得られていません。

(https://x.com/polterfinance/status/1857971122043551898)

特徴分析およびセキュリティ提案

今月のセキュリティ事件数と損失規模は先月に比べて明らかに減少しており、この変化は業界のセキュリティ対策の継続的な改善を反映しています。特に注目すべきは、攻撃原因の分布や損失規模において、契約の脆弱性が最も高い割合を占めていることです。今月発生した7件の契約脆弱性利用事件は約3,000万ドルの損失をもたらし、総損失の39%を占めています。慢雾セキュリティチームは、プロジェクト側に対し、常に警戒を怠らず、定期的に包括的なセキュリティ監査を実施し、新たなセキュリティ脅威や脆弱性を追跡・解決し、プロジェクトと資産の安全を確保することを推奨します。

さらに、慢雾セキュリティチームは、今月Crypto業界に対するAIによる毒物攻撃の実際の事例が発生したことに注意しています。この現象は、サプライチェーン攻撃のターゲット範囲がさらに拡大していることを示しています。一部の開発者は効率を追求するあまり、AI生成のコードに過度に依存し、コードの安全性の確認を怠っている可能性があります。したがって、慢雾セキュリティチームは、開発者やプロジェクト側に対し、AI生成のコードを使用する際には出力結果を盲目的に信頼しないよう警告しています。すべてのコードは実際の使用に投入する前に厳格なセキュリティ監査とテストを受けるべきであり、安全上のリスクを防ぎ、プロジェクトとユーザーの資産の安全を守る必要があります。同時に、プロジェクト側はサプライチェーン全体のセキュリティ管理を強化し、第三者ツールやサービスを包括的に評価し、関連分野のセキュリティ動向を継続的に注視し、新たな脅威に迅速に対応する必要があります。