Maestro Telegramボット、スマートコントラクトの欠陥により280 ETHが盗まれる

ハッカーらは最近、Maestro Telegram取引ボットのスマートコントラクトの脆弱性を悪用し、約50万ドルに相当する280 Ethereum（ETH）を盗みました。ブロックチェーンセキュリティ企業のBeosinはTwitterで、この攻撃がMaestro Router 2スマートコントラクト内の外部呼び出しの欠陥を特定したと詳述しました。加害者はコントラクトの転送関数を操作し、ユーザーのトークンを彼らのウォレットに効果的に移しました。

さらに、この事件の影響は、3700万JOEトークンを侵害する大規模なフィッシング攻撃にまで及びました。ブロックチェーン分析機関PeckShieldが伝えた情報によると、これはセキュリティ侵害の深刻さを浮き彫りにしました。JOEトークンの市場は即座に反応し、30%以上暴落しました。これは、流動性の制約によりMaestroがユーザーへの補償のためにJOEトークンを購入できなかったため、状況が悪化しました。

しかし、混乱の中で、ハッカーらは暗号通貨界隈で取引の詳細を隠すことで知られるプライバシーツールであるRailgunに盗まれたETHを移動させ、さらなる匿名性のベールを被る選択をしました。

迅速に対応し、Maestroチームは修正措置を開始し、そのような脆弱性に対してシステムを強化しました。彼らはTwitterでのコミュニケーションを通じて、更新されたルーターは攻撃から安全であるとユーザーに保証しました。しかし、SushiSwap、ShibaSwap、ETH PancakeSwapなど、他のスワッププラットフォームにプールされたトークンを含む取引活動を一時的に停止しました。

励みとなる動きとして、Maestroは影響を受けた当事者への返金責任を引き受けました。彼らは、被害者にETHを単に移転するだけでなく、実際のトークンを購入することで公平かつ包括的な返金を行うことを選択しました。この決定は、影響を受けたトークンの大部分をカバーし、公平な解決へのコミットメントを示しました。

迅速な是正措置にもかかわらず、この事件は、ユーザーが秘密鍵を手放すことを必要とする取引ボットの内在するリスクを浮き彫りにしました。このような慣行は、分散型金融の格言「あなたの鍵ではない、あなたのコインでもない（not your keys, not your coins）」に真っ向から反しています。これは、潜在的な利益と、金庫の鍵を渡すような暗号学的同等物である秘密鍵を公開する危険性の間のトレードオフを示しています。

ルーターコンポーネントに限定され、ウォレットの認証情報を侵害したものではないものの、この攻撃は暗号通貨コミュニティ内に警戒の波を巻き起こしました。これは、複雑なシステム内に潜む脆弱性と、デジタル資産を保護するために必要な絶え間ない警戒心の必要性を如実に示しています。