0G財団、DeFiハッキングで520Kの損失を報告

同社によると、0G財団に対するサイバー攻撃により、50万ドル以上の暗号資産が盗難に遭いました。

世界初の分散型かつオープンなAIオペレーティングシステムの構築を目指す財団は、攻撃者が520,010の$0Gトークンを盗み出し、それらをブリッジしてTornado Cash経由でルーティングしたと報告しました。追加的な損失には9.93エーテルと約4,200ドルのUSDTが含まれ、盗難時の合計確認損失は約52万ドルに達しました。

漏洩したプライベートキーに起因する悪用

財団によると、攻撃者は侵害されたクラウドサーバーに不注意に保存されていたプライベートキーへのアクセスを入手した後、影響を受けた報酬契約の緊急引き出し機能を悪用しました。

このキーは、NFTのステータスと報酬の更新を管理していたAlibaba Cloudインスタンスに関連付けられていました。

「攻撃者はAliCloudインスタンスから漏洩したプライベートキーにアクセスしました」と財団は述べ、平文のプライベートキーをローカルに保存することは重大な運用上の失敗であり、「これは今では二度と起こってはならないとわかっている実践です」と付け加えました。

さらに調査を進めた結果、侵害は単一のサーバーに限定されていないことが判明しました。財団によると、攻撃者は2025年12月5日、人気のあるNext.js Webフレームワークの重大な脆弱性（CVE-2025-66478として追跡）を悪用し、複数のAliCloudインスタンスを侵害しました。内部IPアドレスを使用して、攻撃者はシステム間で横断的に移動し、広範囲のサービスに影響を与えました。

これには、アライメントサービス、バリデーターノード、Gravity NFTサービス、ノード販売インフラストラクチャ、およびCompute、Aiverse、Perpdex、Ascendなどのいくつかのエコシステム製品が含まれていました。

しかし、財団は、ユーザー保有資産に直接関連する追加の損失は特定されていないと主張し続けています。

ブロックチェーンセキュリティ企業のCertiKは、以前、0G関連の報酬契約からの不審な出金を指摘し、その後の財団の確認と一致する損失額を推定しました。

0G財団の次なる展開は？

0G財団は、直ちにセキュリティ対策を実施したと主張しています。同組織はNext.jsの脆弱性をパッチし、影響を受けたサービスを再構築しました。

0Gが繰り返しの事件を防ぐために講じている措置の一環として、財団はすべてのキーを保持するサービスを信頼実行環境（TEE）に移行し、重要な資金管理に対してマルチシグウォレットの要件を実装し、インフラストラクチャ全体でゼロトラストセキュリティの原則を採用すると主張しています。

0G財団が報告したハッキング事件は、2024年11月にHack VCが主導し、Delphi Ventures、OKX Ventures、Samsung Next、Animoca Brandsなどの投資家が参加した4,000万ドルのシードラウンドを含む、合計2億9,000万ドル以上の資金調達を行った直後でした。この資金調達により、プラットフォームのコミットメント資金は3億2,500万ドルとなりました。

0Gは、この侵害が「痛いが必要な目覚め」であると認めました。また、コミュニティが財団が52万ドルを悪意ある行為者に失った方法についてより多くを知ることを期待できる、完全な事後報告書の公開を約束しました。