Web3における最大のDeFi攻撃：同様のセキュリティ侵害をどう防ぐか

分散型金融（DeFi）プロトコルは、ユーザーに分散型の金融サービスを提供し、他の参加者との取引や契約の締結を可能にします。DeFiプロトコルはユーザーにとって安全で信頼性の高いプラットフォームを提供することを目指していますが、過去数年間でいくつかの攻撃により多額の資金損失が発生しました。本記事では、最近発生した最も大規模なDeFi攻撃のいくつかについて解説します。

返還された資金を差し引いた後のWeb3における主要な8つの暗号通貨DeFi攻撃は以下の通りです：

Roninチェーン – $600m

2023年3月は、暗号通貨空間にとって多事多忙な月となりました。Axie InfinityのRoninブリッジハッキングが6億1,200万ドルでトップに輝きました。

Roninブリッジは、人気のあるプレイ・トゥ・アーンゲーム『Axie Infinity』で使用されるEthereumのサイドチェーンです。

北朝鮮との関連が疑われるサイバー犯罪グループ「ラザルス」は、9人のトランザクションバリデーターの秘密鍵へのアクセスに成功し、2件の大規模な取引を承認して、資金をウォレットアドレスから移動させることができました。幸いにも、当局、セキュリティ企業、暗号通貨取引所の協力により、ハッカーが資金をオープンソースの暗号通貨タンブラーであるTornado Cashや他の取引所に移した後に、一部の資金を追跡することができました。

Wormholeブリッジ – $323m

2022年2月、不幸な出来事が発生し、暗号通貨ハッカーがWormholeのコードを悪用して3億2,600万ドル相当の暗号通貨を持ち去りました。

WormholeはSolanaとEthereum間のトークンブリッジですが、攻撃を防ぐことに失敗しました。これは、署名検証をバイパスし、一連の署名委任を可能にする、非推奨/死んだ安全でない関数によって可能になりました。

サイバーセキュリティの専門家は、開発者が「セキュアコーディングプラクティス」を実践していれば、この攻撃を防ぐことができた可能性があると示唆しています。これにより、有効なアドレスの認証を確認し、チェーン上の資産への不正なアクセスを排除することができました。

Beanstalk – $181m

2022年4月の運命の週末、ハッカーが暗号通貨コミュニティを揺るがす攻撃を行いました。分散型金融（DeFi）プロトコルの機能であるフラッシュローンを使用して、Beanstalkステーブルコインプロトコルから1億8,200万ドル相当のETH、BEANステーブルコイン、その他の資産を盗み出しました。

ハッカーは、Beanstalk DAOの緊急コミット機能を通じて2つの悪意のある提案を行いました。この機能は、24時間後に2/3の投票が得られた場合に実装されます。攻撃者はフラッシュローン技術を使用してトークンの79％の制御権を取得し、両方の提案を通過させて計画を成功させました。

資金はプロトコル内から送金され、フラッシュローンの返済に充てられ、残りはウクライナに拠点を置く緊急基金に関連するアドレスに送られました。合計で、この勇敢な行為を行った個人によって最大7,600万ドルが奪われました。

Nomad – $155m

2022年8月1日に発生した難解なNomadブリッジハッキングは世間を騒がせました。攻撃者は脆弱性を悪用し、マルチチェーンクロスブリッジに保管されていた1億9,000万ドル相当のEthereumベースの資産を吸い上げました。

ハッカーは素早く激しく動き、960件の取引を行い、ブリッジの総ロック価値（TVL）から1,175件の個別出金を行いました。すべて数時間以内のことでした。

このハッキングの難解な点は、ユーザーがブリッジ資金をハッキングするために必要だったのは、元のハッカーのトランザクション呼び出しデータをコピー＆ペーストし、元のアドレスを個人のアドレスに置き換えるだけで、トランザクションが完了することでした。

このハッキングは分散型金融（DeFi）コミュニティに衝撃を与え、ハッカーがコードの抜け穴を悪用する際に常に一歩先を行っていることを証明しました。Nomadブリッジは、セキュアコーディングプラクティスの重要性を示す例として、セキュリティが今日のブロックチェーンプロジェクトにとって継続的な課題であることを強調しています。

CREAM Finance – $130.8m

2021年10月のCREAMへの攻撃は最大のフラッシュローン強盗事件の一つでしたが、確かに孤立した事件ではありませんでした。フラッシュローン攻撃は、単一のトランザクション内で流動性の「フラッシュローン」の借用、およびこの迅速な資金のデフォルトを利用します。

価格計算の誤差を悪用することで、ハッカーは借入から迅速に利益を得ることができます。例えば、CREAMの場合、2つの異なるアドレスがyUSDVaultと相互作用して大量のcrYUSDトークンをミントしました。彼らはこれらのシェアの価値を2倍にする脆弱性を悪用しました。彼らは1億3,000万ドル相当の資金を確保することに成功しましたが、利用可能な約10億ドルの担保は、この金額をはるかに超える損失を被る可能性があります。 

フラッシュローン攻撃はますます一般的になっており、コミュニティは将来のセキュリティ侵害をどう防ぐことができるかについて質問すべきです。

BSCトークンハブ – $127m

2022年10月、BSC Beaconクロスブリッジコードの重大な脆弱性を悪用したハッカーにより、5億7,000万ドル相当の暗号資産が持ち去られました。

BSc Beaconチェーン（トークンハブとも呼ばれる）は、BNB Beaconチェーン（BEP2）とBNBチェーン（BEP20/BSC）を接続するインターチェーンブリッジです。

ハッカーは、トランザクションなどのデータの正当性を確認するために意図された「Merkle proofs」と呼ばれる暗号証明を偽造しました。そして、これらの偽のMerkle proofsを使用して、BSC Beaconクロスブリッジから他のチェーンへ資金を移動させました。

Tetherがハッカーのアドレスをブロックリストに追加した直後、迅速な対応が行われ、BNBチェーンから700万ドル以上が凍結され、不正に得た資金の大部分が没収されました。

Harmony Horizon – $100m

2022年6月、Harmony Horizonブリッジプロジェクトが侵害され、ハッカーが5人のバリデーターのうち2人の秘密鍵を盗み、1億ドル相当のトークンを移動させることができました。

このセキュリティ上の問題は、ブリッジのセットアップ方法、つまり2 of 5の検証スキームに起因していました。その結果、攻撃者は悪意のあるトランザクションを検証するために2つの承認だけで十分でした。痕跡を隠すため、攻撃者はTornado Cashを使用して不正に得た資金の一部を洗浄しました。 

このセットアップは当初安全に見えたかもしれませんが、それは悪意のある行為者にとって魅力的な標的となり、捕まった人々にとってブロックチェーンの安全性に関する高価な教訓となりました。

Rari – $91 m

再入力攻撃はEthereumの初期の時代から存在しています。これらは契約の脆弱性を利用して、元のトランザクションが承認または拒否される前に資金を繰り返し引き出すために使用されてきました。

2022年5月、2つの分散型金融プラットフォームがこの方法で侵害され、ハッカーにより9,000万ドルが盗まれました。Rari CapitalのJack Longarzoは、攻撃者が同社を悪用したと述べ、Rari Capitalと合併したFei Protocolはハッカーに1,000万ドルの報奨金を提供しました。

ブロックチェーンセキュリティ会社のBlockSecは、ハッカーが再入力の脆弱性を使用したと説明しました。 

開発者は、Ethereumブロックチェーンへのデプロイ前に契約を適切にテストおよび監査することで、これらのタイプの攻撃を防ぐことができます。

DeFi攻撃から身を守る方法

DeFiプロトコルはますます人気を集め、複雑さを増しているため、ハッカーにとって魅力的な標的となっています。以下は、DeFi攻撃から身を守るための7つのヒントです：

1. 投資する前に、あらゆるプロジェクトについて綿密なデューデリジェンスを行ってください。プラットフォームのコード、ウェブサイト、チームメンバー、ソーシャルチャネルに赤旗がないか確認します。
2. 信頼できるソースが、あなたが相互作用する契約を監査し、その監査結果が公に利用可能であることを確認してください。
3. 1つのDeFi契約に多額の資金を保管しないでください。そうしないと、攻撃に対してより脆弱になります。
4. 最新のセキュリティニュースに更新され、新しい攻撃について学びましょう。
5. DeFiプロトコルと相互作用するすべてのアカウントに対して、適切な認証および認可手順を実装してください。
6. ウォレットを安全に保ち、可能であれば常に二要素認証を使用してください。
7. ブロックチェーン上の資金とトランザクションを定期的に監視し、不審な活動や不正な出金を検出してください。

これらのヒントに従うことで、DeFi攻撃から身を守り、分散型金融プロトコルと相互作用する際に資金を安全に保つことができます。ただし、どのシステムも完璧ではないことを覚えておくことも重要です。したがって、デジタル資産を扱う際には常に追加の注意を払うことがベストプラクティスです。

結論

全体的に、セキュリティは暗号通貨やDeFiプロトコルを扱う際の最も重要な考慮事項の一つです。残念ながら、業界が成長するにつれて、悪意のある活動のリスクも増大しています。完全な安全を保証することは不可能ですが、これらのヒントに従うことで、DeFi攻撃から身を守り、資金を安全に保つことができます。 

ブロックチェーンセキュリティの最新の開発に精通し、すべてのアカウントに適切な認証手順が整っていることを確認することで、デジタル資産が安全に保たれるのを助けることができます。