[セキュリティ月報] | 11月はブロックチェーンのセキュリティインシデントが増加し、ハッカー攻撃による損失は2億300万米ドルに達した。

Zero Hour Technology の毎月のセキュリティ インシデントのハイライトが始まりました。一部のブロックチェーンセキュリティリスク監視プラットフォームの統計によると、2024年11月には、さまざまなセキュリティインシデントによる損失額が10月と比べて増加しました。 11月には典型的なセキュリティインシデントが30件以上発生し、ハッカー攻撃、フィッシング詐欺、敷物の引き抜きなどによる損失総額は2億300万米ドルに達し、10月から約38％増加し、 2520万米ドルが払い戻された。

ハッカーの攻撃

10 の典型的なセキュリティインシデント

(1) 11 月 11 日、MetaScout は、イーサリアム上のステーブルコイン プロトコル Raft がフラッシュ ローン攻撃を受けたことを検出しました。その結果、670 万枚のステーブルコイン $R が鋳造され、プロトコルは 360 万ドルを失いました。根本的な原因は、シェア トークンの鋳造時に発生した精度計算の問題であり、ハッカーが追加のシェア トークンを入手するために悪用しました。

(2) 11 月 12 日、ブロックチェーン ベースの融資プラットフォーム デルタ プライムが 2 か月で 2 回目の攻撃を受けました。最新の推定によると、500万ドル近くの暗号資産が移動されました。これは、9 月中旬にデルタ プライムが約 600 万ドルの攻撃を受け、プロトコル管理者の 1 人が秘密鍵の制御を失い、プロトコルが 1,000 万ドル以上を失った直後に発生しました。

(3) 11月14日、vETHプロジェクトが攻撃されました。攻撃挙動から、vETHプロジェクト当事者が最近展開した関連コントラクト0x62f2...a1b5に価格操作の脆弱性が存在し、vETHコントラクトが異常な価格で貸付動作を行ったことが今回の事件の原因と推測されます。 。累積損失は現在約45万ドルに上る。

(4) 11 月 15 日、アプトスのエコロジカル DeFi プロジェクト Thala が、最新の V1 流動性プール契約によるセキュリティ脆弱性による攻撃を受け、2,550 万米ドル相当の資産が盗難されました。現在、Thala は関連するすべての契約を停止し、Thala トークン資産 (900 万 MOD ドルと 250 万 THL ドル) を凍結しており、他の機関の支援を受けて、30 万ドルの報奨金を通じてすべてのユーザー資産を回復することで攻撃者と合意に達しました。

(5) 11 月 18 日、Zero Hour Technology プロジェクト チームは BNB スマート チェーンへの攻撃を監視しました。攻撃されたプロジェクトは BTB でした。この脆弱性の原因は、プロジェクト チームが BTB から BUSD への交換を完了する際に古い価格オラクルを使用したことです。これにより、攻撃者は BTB の価格を簡単に操作でき、最初に BTB を大量に購入し、BTB の価格を吊り上げ、その後 BTB の価格を引き上げることができました。売り切って、最終的に裁定取引を完了します。この攻撃により、合計約 5,000 米ドルの損失が発生しました。

詳細な攻撃分析については、次のリンクをクリックしてください: https://mp.weixin.qq.com/s/fAAL7MzU5hU995ouCPz2yw

(6) 11月19日、ポルター・ファイナンスは1,200万ドルのフラッシュ・ローン・ハッカー攻撃を受け、現在バイナンス・ウォレットに関連する盗まれた資金を調査しており、攻撃者との交渉を提案している。 11月17日、Polter Financeは脆弱性を発見した後プラットフォームの運営を停止し、Xについて投資家に通知した。プロトコルは盗まれた資金を調査し、仮想通貨取引所バイナンスのウォレットにあることを突き止めた。

(7) 11 月 19 日、オンチェーン取引ターミナル DEXX は、以前のセキュリティ事件に関する最新情報を発表しました。「DEXX は正式に訴訟を起こし、SlowMist チームはその後の捜査において法執行機関を積極的に支援しています。同時に、 DEXX は補償計画について積極的に議論している 前のニュース SlowMist の統計によると、DEXX 事件では 900 人以上の被害者が確認され、損失総額は 2,100 万ドルと推定されています。

(8) 11 月 20 日、SlowMist セキュリティ チームの監視によると、BSC 上の BSCGem (BSCGem) が攻撃された疑いがあり、約 17,300 米ドルの損失が発生しました。

(9) 11 月 25 日、Zero Hour Technology セキュリティ チームは BNB スマート チェーンへの攻撃を監視しました。攻撃されたプロジェクトは DCF でした。この脆弱性の原因は、プロジェクトチームがDCFの転送機能を実装する際に間違ったロジックを書いたことにあります。これにより、攻撃者はペア内の DCF をスワップ ペアに転送して破壊し、DCF の価格を簡単に操作し、最終的に裁定取引を完了することができます。この攻撃により、総額約 44 万米ドルの損失が発生しました。

詳細な攻撃分析については、次のリンクをクリックしてください。

https://mp.weixin.qq.com/s/NkMjMEmtoffwkH_ZzfMxig

(10) 11月29日、オンチェーンセキュリティ監視機関BitJungleによると、DeFiブロガー「マイニング・リトル・ペンギン」の秘密鍵を盗んだハッカーの住所が1年10カ月の沈黙を経て変更された。ハッカーは 400 万 DAI を ETH に変換し、そのうち 900 ETH がミキサーに入り、残りの ETH はまだハッカーのアドレスに残っています。 「マイニングリトルペンギン」は、2023年1月14日に秘密鍵の盗難に遭ったと報告されています。盗難された資産は当時約790万米ドル相当でした。

敷物を引っ張る / フィッシング詐欺

4 つの典型的なセキュリティインシデント

(1) 11 月 15 日に、0x916d で始まるアドレスがフィッシングされ、211 stETH (654,042 ドル) が損失されました。

(2) 11 月 16 日、被害者が悪意のある「permit2」フィッシング署名に署名した後、1 時間前に 341,103 ドル相当の $FET トークンが盗まれました。被害者は 0xcc5 で始まるアドレスです。

(3) 11 月 22 日、Twitter ユーザー @r_cky0 は、ブロックチェーン自動取引ロボットを開発するために ChatGPT を使用してコードを生成したところ、GPT が推奨するコードにバックドアが隠され、秘密鍵がフィッシング Web サイトに送信され、問題が発生したことを明らかにしました。被害額は約 2,500 ドルでした。

(4) 11 月 30 日、0x0140 で始まるアドレスは、「ライセンス」フィッシング署名に署名した後、4.25 WBTC (410,096 ドル) を失いました。

要約する

今月のフィッシング詐欺による損失は損失総額の64.8%を占め、総額は約1 億 3,100万米ドルでした。

ゼロアワー テクノロジー セキュリティ チームは、プロジェクト関係者に対して常に警戒を怠らないことを推奨し、ユーザーにはフィッシング攻撃に注意するよう注意を喚起しています。ユーザーはプロジェクトに参加する前にプロジェクトの背景やチームを十分に理解し、慎重に投資プロジェクトを選択することをお勧めします。さらに、プロジェクトがオンラインになる前に、社内のセキュリティ トレーニングと権限管理を実施し、監査を実施する専門のセキュリティ会社を見つけ、プロジェクトの身元調査を実施することも必要です。