- Dedaubの調査チームは、悪用される数時間前にBedrockに欠陥のあるコントラクトについて警告を試みました。
- 影響を受けた資産uniBTCは分散型取引所で暴落しました。
- Bedrockは、基盤となるWBTCやBTCは一切影響を受けておらず、リスクもなかったと述べています。
ラップドアセットを備えたBitcoinベースのDeFiプロトコルであるBedrock DeFiから170万ドルが盗まれました。uniBTCの盗難は、Onyx Financeに対する攻撃のわずか1日後に発生しました。
Bedrock DeFiは、スマートコントラクトのエクスプロイトを通じてリステーキングプールが空にされ、170万ドルのuniBTCを盗まれました。攻撃を調査した後、Bedrockは問題のあるスマートコントラクトをシャットダウンし、さらなる 攻撃被害を回避しました。ハッカーは制限なくuniBTCをミントでき、関連するすべてのプールと取引ペアを危険に晒す可能性がありました。
エクスプロイトは当初、Dedaub分析チームによって発見され、直ちにBedrockの開発者に連絡を試みましたが、3時間以内に別の攻撃者がその知識を応用し、過剰なuniBTCを作成しました。
Bedrock DeFiは、エクスプロイトがBTCのトークン化された形態であるuniBTCのみに影響を与えたと発表しました。基盤となる準備金は安全であり、プロトコルは問題を解決しました。プラットフォームは、BitcoinやEthereumを含むさまざまなネットワークからステーキングされた2億4300万ドル超の資産を保有しています。Bedrock DeFiは、アイドル資産が受動的な収入を得られるマルチチェーンの液体リステーキングを提供することを目指していました。
トークン化されたuniBTC資産は、イーサリアムチェーン上のERC-20コントラクトです。ラップされたBTCは3,552のアドレスに保持され、総時価総額は7,540万ドルです。攻撃の直後、いくつかの分散型取引ペアで異常な動きが見られました。
uniBTCのバージョンは合計8つのネットワークに存在し、Pendleのような一部のプロトコルはCornプロトコルと同様に、この資産に対して最大3,000万ドルのエクスポージャーを持っています。uniBTCのミント用の同様の脆弱なコントラクトが、Ethereum、Binance、Arbitrum、Optimismメインネット、Mantle、Mode、BOB、ZetaChainで脅威を生んでいました。Dedaubの研究者はPendleに警告し、これによりロックされた価値の大部分がexit liquidityとして悪用されるのを防ぎました。
uniBTCのハッキングは、分散型取引所においていくつかの感染を引き起こしました。Uniswap V3のプールの一つで価格が $17,889.15まで暴落し、もう一つのペアは62,311.48ドルというより小さな割引で取引されました。Optimism版の分散型ペアは 90% まで18,000ドル未満まで暴落しました。この資産は5,741.48ドルという過去最低値に達しました。ペアの流動性が低いため、裁定取引の試みが妨げられ、売り圧力が支配しています。
実際のスワップレート暴落はプロトコルにより大きなダメージを与え、評判にも傷をつけました。ハッキングから数時間後、uniBTCはWBTCとのパリティを回復していませんでした。WBTCは取引ペアの大部分を占めています。
他の攻撃と同様に、ソーシャルメディア上の偽のコメントで、取消しウェブサイトの使用を呼びかけました。ウォレットユーザーは、これらの悪意のあるリンクにより、残りの資産がすべて吸い上げられるという追加のリスクに直面しています。
ハッカーはBedrockのuniBTCコントラクトへの呼び出しを悪用しました
この攻撃は、実際のBTCとWBTCで裏打ちされたトークン化されたラップされたuniBTCに影響を与えました。Dedaubのような研究者は、Bedrockを悪用する可能性のある機能に気づいていましたが、警告から数時間後にハッキングが発生しました。
Dedaubは、悪意のあるアクターが 無限の uniBTCを作成し、ボルトと分散型取引ペアを攻撃できると指摘しました。この攻撃は、Bedrock DeFiに加えて、PendleとCornにも潜在的に影響を与えました。攻撃者は少量のETHを預け入れ、異なる交換レートでuniBTCをミントできました。新しくミントされた資産は完全に転送可能であり、Uniswapや他の分散型プロトコルでより多くのWBTCと交換して売却することができました。
別の研究者、Chaofan Shouは、uniBTCコントラクトが関数呼び出しに対して脆弱であると指摘しました。リスクのある合計金額は、分析の数時間前に正確に吸い上げられました。
ItyFuzzを使用して、@Bedrock_DeFiのuniBTCから最大170万ドルを盗む完全に機能するエクスプロイトを生成できます。
必要なのはCPUコア1つと0.5秒だけです。pic.twitter.com/SMMD1MSbvT
— Chaofan Shou (@Fried_rice) 9月 27日、2024
スマートコントラクトへの呼び出しは、DeFiプロトコル内のロックされた価値が増加した後も、最大のリスクの一つであり続けています。Bedrock DeFiに対する攻撃は、プロトコルの総ロック価値が過去最高値の 243Mドル.
プロトコルを救ったのは、ステーキングの非保管型性質でした。これにより、ハッカーはラップされた資産を盗み、DEXの流動性プールに影響を与えましたが、基盤となる準備金には影響を与えませんでした。ラップされたBTCは通常、コールドウォレットを使用しており、元の資産に戻して交換するのは容易ではありません。
BedrockはBabylon LabsとEigen Layerを使用して、その報酬構造を実現しています。これらのプロトコルは、資産を直接リスクに晒すことなく、BTCとETHの価値を安全に解放しています。作成されたuniBTCは、PendleやVelodromeでも使用でき、受動的なリターンを得ることができます。
過去数週間の攻撃の大部分は、イーサリアムベースのDeFiを対象としていました。今回の攻撃はビットコイン派生資産に影響を与えましたが、その大部分の価値移動には依然としてイーサリアムブロックチェーンが使用されています。
Hristina Vasileva による Cryptopolitan のレポート
最も賢明な暗号通貨の専門家たちはすでに私たちのニュースレターを読んでいます。あなたも参加しませんか？ 彼らに加わりましょう。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
クリスティーナ・バシレワ
Hristina Vasileva氏は、DeFi、ビジネス、経済ニュースを専門としています。ソフィア大学で哲学の修士号を取得し、その前には経営学、ジャーナリズム、マスメディアの4年間の学士課程を修了しました。同国の主要新聞の一つで商品市場や企業業績を担当し、現在はCryptopolitanの寄稿記者を務めています。
