著者 | ウーがブロックチェーンについて語る

北京時間2月21日夜、オンチェーン探偵ZachXBTは、Bybitから14億6000万ドル以上の不審な資金流出を監視しており、現在mETHとstETHがDEXでETHに交換されていることを初めて明らかにした。これは暗号通貨史上最大の盗難事件（当時の金額で）となったことは間違いありません。

Coinbaseの責任者であるコナー・グローガン氏は、北朝鮮によるバイビットのハッキングは、これまでで最大のハッキングと盗難だった（イラク中央銀行の盗難よりも​​大きく、その額は約10億ドルだった）と述べた。その額は、2016年のDAOハッキングの約10倍だった（ただし、供給率ははるかに高かった）。ここで、イーサリアムのフォークを求める声が上がると予想されます。 （ここでの金額は盗難時の価値に基づいて計算されます）

アーカム氏は、オンチェーンアナリストのザックXBT氏が、バイビットの15億ドルのハッキングは北朝鮮が支援するハッカー集団ラザルス・グループによって実行されたという確固たる証拠を提示したとツイートした。彼の提出物には、テストトランザクション、関連するウォレット、フォレンジックダイアグラム、タイミング分析の詳細な分析が含まれています。調査に役立てるため、関連情報は Bybit と共有されました。

Bybit CEO の BEN 氏は、約 1 時間前に Bybit ETH マルチ署名コールドウォレットから資金が当社のホットウォレットに転送されたとツイートしました。トランザクションは偽造されたようで、すべての署名者は正しいアドレスを示す偽の UI を見ました。URL は SAFE からのものでした。ただし、署名情報は、ETH コールド ウォレットのスマート コントラクト ロジックを変更します。その結果、ハッカーは私たちが署名した特定の ETH コールド ウォレットを制御し、コールド ウォレット内のすべての ETH をこの未確認のアドレスに転送しました。ご安心ください。他のコールドウォレットはすべて安全です。すべての引き出しは正常です。今後の展開については引き続きお知らせします。盗まれた資金の追跡にご協力いただけるチームがいらっしゃいましたら、大変ありがたく思います。 Bybit のホットウォレット、ウォームウォレット、その他すべてのコールドウォレットは良好です。ハッキングされた唯一のコールドウォレットは、ETH コールドウォレットでした。すべての引き出しは正常です。

Bybitの公式Twitterアカウントは、Bybitが当社のETHコールドウォレットの1つに関連する不正なアクティビティを検出したと発表しました。事件発生当時、当社の ETH マルチ署名コールドウォレットはホットウォレットへの転送を実行しました。残念ながら、トランザクションは、署名インターフェースをマスクして正しいアドレスを表示し、基盤となるスマート コントラクト ロジックを変更する高度な攻撃によって操作されました。その結果、攻撃者は影響を受けた ETH コールドウォレットを制御し、その資産を未確認のアドレスに転送することができました。当社のセキュリティチームは、主要なブロックチェーンフォレンジックの専門家やパートナーと協力して、このインシデントを積極的に調査しています。ブロックチェーン分析と資金回収の専門知識を持ち、これらの資産の追跡を支援できるチームであれば、ぜひ当社と協力してください。他のすべての Bybit コールドウォレットは完全に安全であることをユーザーとパートナーに保証します。すべての顧客資金は安全であり、当社の業務は中断することなく通常通り継続されます。透明性とセキュリティは引き続き当社の最優先事項であり、できるだけ早く最新情報を提供します。

Bybitは、他のすべてのBybitコールドウォレットは安全であり、顧客の資金は影響を受けず、安全なままであると述べた。現在の状況により、出金リクエストが急増していると認識しております。大量の出金は遅延を引き起こす可能性がありますが、すべての出金は通常通り処理されています。 Bybit は、運用資産が 200 億ドルを超えており、損失を補うのに十分な資産を保有しており、必要に応じてブリッジローンを利用してユーザー資金の利用可能性を確保します。

Coinbaseのディレクターであるコナー・グローガン氏は、バイナンスとビッゲットが5万ETH以上をバイビットのコールドウォレットに直接入金したとツイートした。特に注目すべきはビッゲットの入金で、同取引所の全ETHの4分の1を占めている。入金アドレスが省略されていたため、資金はBybit自身によって調整されたようです。 Bybit CEOのベン・ジョウ氏は次のように述べた。「この度はBitgetに支援の手を差し伸べていただき、ありがとうございます。私たちはBinanceや他のパートナー数社と連絡を取っています。このファンドはBinanceとは一切関係ありません。」

Bitget CEOのグレイシー氏は、Bybitは尊敬すべき競争相手でありパートナーだと述べた。今回の損失は大きいが、これは彼らの1年間の利益に過ぎない。顧客の資金は100％安全であり、パニックになったり暴走したりする必要はないと信じている。さらに、グレイシー氏は、バイビットに貸し出されたのはビットゲット自身の資産であり、ユーザーの資産ではないと述べた。

SlowMist チームは、詳細を追加した投稿を公開しました。攻撃者は悪意のある実装契約を展開しました。次に、攻撃者は 3 人の所有者を通じてトランザクションに署名し、安全な実装契約を悪意のある契約に置き換えました。攻撃者は、悪意のある契約のバックドア関数 sweepETH と sweepERC20 を使用して、ホット ウォレットの資金を消去しました。

膨張効果分析によると、以前の同様の事件と比較して、Bybit 事件では、攻撃者が「ソーシャル エンジニアリング」手法を使用していたため、攻撃を完了するために 1 人の署名者を削除するだけで済んだことが指摘されています。オンチェーントランザクションの分析により、攻撃者がdelegatecallを通じて悪意のある契約の転送関数を実行していることが判明しました。転送コードはSSTORE命令を使用してスロット0の値を変更し、Bybitコールドウォレットマルチ署名契約の実装アドレスを攻撃者のアドレスに変更します。マルチ署名トランザクションを開始した人物/デバイスを識別するだけで済みます。後続の監査人がこの転送を確認すると、警戒心が大幅に緩和されます。なぜなら、普通の人は移転とは送金を意味すると考えていますが、それが契約の変更を意味することを知っている人はいません。

Chainlinkのデータによると、Bybitのセキュリティインシデントが公表された後、USDeは0.965ドルまで暴落し、その後0.99ドルまで反発した。 Bybit は、取引所の UTA 内のすべての資産の永久契約を取引するための担保として USDe を統合しました。 ethena_labs は、Bybit で何が起こっているかに注目しており、引き続き進捗状況を監視していくと投稿しました。 USDe を裏付けるすべてのスポット資産は、Copper Clearloop を介した Bybit との提携を含む店頭保管ソリューションで保管されます。現在、どの取引所にもスポット資産は保管されていません。 Bybit のヘッジポジションに関連する未実現損益の合計額は 3,000 万ドル未満で、準備金の半分未満です。 USDe は現在、担保が完全に確保された状態を維持しており、最新情報に基づいて更新情報を提供します。

Binanceの共同創設者CZ氏は、これは対処が容易な状況ではないと答え、標準的な安全対策としてすべての引き出しを一時停止することを推奨する可能性があり、必要に応じて支援を提供すると述べた。何毅氏は協力する意向を示した。

Safeのセキュリティチームは、Bybitと緊密に協力して調査を継続中であると回答した。現時点では、公式の Safe フロントエンドが侵害されたという証拠はありませんが、万全の注意を払って、Safe Wallet は特定の機能を一時的に停止しています。スローミスト・ユシアン氏は、前回のレイディアント・キャピタル事件と同様に、今回の盗難は北朝鮮のハッカーによるものである可能性があると述べた。レイディアント・キャピタルは、10月に同銀行が受けた5000万ドルの攻撃は北朝鮮のハッキング集団によるもので、高度な個人情報偽造と多層的なフィッシング攻撃が関与していたと述べた。攻撃者は元請負業者を装い、ソーシャルエンジニアリングを通じて機密の認証情報を入手し、プロトコル システムに侵入して攻撃を実行しました。

セキュリティアナリストは、これは署名者のコンピューターまたは中間インターフェースがハッキングされた WazirX および Radiant に似ていると考えています。このハッキングの考えられる理由は、ハッカーが署名者のコンピューター/ブラウザにウイルスを埋め込み、トランザクションを悪意のあるトランザクションに置き換えて、ハードウェアウォレットに送信したことです。このウイルスはスタックのどの部分（悪意のある拡張機能、ウォレット通信など）にも存在する可能性があります。セキュリティ インターフェイスがハッキングされ、1 つのトランザクションが表示されましたが、ウォレットには別のトランザクションが送信されました。最終結果は、署名者がセキュリティ インターフェイスで無害なトランザクションを確認したが、実際には悪意のあるトランザクションがウォレットに送信されたことです。完全な事後分析が発表されるまでは、確信が持てません。

OneKeyは、ハッカーらはBybitの3桁のマルチ署名コンピュータが侵害され、攻撃の準備が整ったことを確認しており、彼らの行動を待っていた可能性が高いと述べた。次に、マルチ署名スタッフが日常的な送金などの署名操作を実行したときに、ハッカーが署名内容を置き換えました。スタッフはウェブページを見て、送金などの通常の取引だと思ったが、「以前に展開された悪質な契約を安全な契約に置き換える」取引に変更されていたことには気づかなかった。そして悲劇が起こった。バックドア付きの悪質な契約により、ハッカーは簡単にすべての資金を引き出すことができました。

バイビットは、ETHをすぐに購入するのではなく、パートナーにブリッジローンの提供を依頼すると述べた。すべてのユーザーが現金を引き出せるようにいたしますが、トラフィックが通常の100倍に増加しているため、処理に時間がかかり、多額の引き出しにはリスク確認が必要になります。

Dilation Effect は、Safe マルチ署名メカニズムと組み合わせた通常のハードウェア ウォレットでは、長い間、大規模な資金のセキュリティ管理のニーズを満たすことができなかったと指摘しています。攻撃者が複数の署名者に対処するだけの忍耐力を持っている場合、操作全体のセキュリティをさらに確保するための他の手段はありません。大規模な資金を安全に管理するには、機関レベルの保管ソリューションを使用する必要があります。

DeFiLlamaのデータによると、ハッキングされた資金を含め、過去24時間のBybitの流出総額は23億9,900万米ドルだった。現在、プラットフォームチェーン上には140億米ドル以上の検証可能な資産があり、そのうちビットコインとUSDTが約70%を占めています。 Bybitは、この件を関係当局に報告しており、詳細が判明次第、最新情報を提供すると発表した。さらに、オンチェーン分析プロバイダーとの連携により、関連アドレスの特定と分離が可能になり、悪意のある行為者が合法的な市場を通じて ETH を処分する能力を低減することを目指しました。

この事件は、イーサリアムのフォークに関する議論を引き起こす可能性があります。コナー・グローガン氏は、フォークを求める声は過激すぎると考えているものの、この問題については本格的な議論が行われることを期待していると述べた。アーサー・ヘイズ氏は、大量のイーサリアムを保有する投資家として、2016年のDAOハッキング後のハードフォーク以来、イーサリアムはもはや「通貨」ではないと考えていると述べた。コミュニティが再びロールバックすることを決定した場合、コミュニティは 2016 年に不変性に反対票を投じたので、もう一度ロールバックしない理由がないので、その決定を支持すると彼は言いました。