- SlowMist は緊急のセキュリティ監査と修正を要請し、問題が解決されるまで NOFX AI の展開は依然として高リスクであると警告しています。
- Binance と OKX は SlowMist と協力して影響を受けたユーザーを特定し、侵害された鍵を無効化しました。
- Aster や Hyperliquid などの分散型取引所のユーザーへの連絡は困難であり、公的なリスク警告が発出されました。
ブロックチェーンセキュリティ企業SlowMistは、DeepSeekとQwenの大規模言語モデルアーキテクチャに基づいて構築されたオープンソースの暗号通貨先物取引システムNOFX AIにおける重要な脆弱性を解明した調査を主導しました。
According to findings published on Web3Caff, システムの複数のバージョンにおける欠陥により、一部のユーザーが資格情報の漏洩に晒され、攻撃者が特定のケースでウォレットの秘密鍵や中央集権型・分散型取引所のAPI資格情報を取得できる可能性がありました。
これらの発見の後、SlowMistチームはBinanceとOKXのセキュリティチームに連絡し、影響を受けたユーザーの特定と侵害された鍵の無効化のためにチームと協力しました。
複数のバージョンで認証の欠陥が暴露
SlowMistの調査は、NOFX AIが取引所のAPIキーを漏洩している可能性があると疑っていた、@Endlessss20というハンドル名で活動するコミュニティ研究者からの情報提供を受けて始まりました。
Cos、 SlowMistの創設者は、X（旧Twitter）でのハンドル名@evilcosを使用しており、当初はNOFX AIのオープンソースへの取り組みを称賛し、賞賛すべきものだと評価していました。
しかし、彼はその後、「開示されたリスクはすでに実際の盗難事件につながっており、一部のユーザーのウォレット秘密鍵やCEX/DEXのAPIキーが漏洩した結果、被害が発生している」と述べています。
Cosは、SlowMistの初期開示努力が、公開前に影響を受けたユーザーに通知されることを確実にするために、取引所のセキュリティチームと意図的に調整されていたと付け加えました。
SlowMistのその後の分析により、オープンソースリポジトリの異なるコミット世代に影響を与える2つの核心的な認証問題が特定されました。
この問題は、オープンソースプラットフォームの古いバージョンと新しいバージョンの両方に存在していたと報告されており、システムは実際にはアクセス制御を欠きながら「認証が必要」という状態で作動しており、認証なしで機密な管理者（admin）機能が開かれていました。
そのため、攻撃者は資格情報なしで管理用APIとやり取りすることができました。
これらの認証の弱点をさらに悪化させるものとして、システムのAPIエンドポイントの1つは、デフォルトでBinance、Hyperliquid、および Aster DEX.
取引所との協調的なセキュリティ対応
問題の深刻さを確認した後、SlowMistはBinanceとOKXのセキュリティ部門に連絡しました。
彼らは共同セキュリティオペレーションルームを設立し、SlowMistがインテリジェンスと影響評価を提供し、取引所のチームが独立して侵害されたAPIデータを分析および検証しました。
その後、グループは露見したキーから逆算して、プラットフォーム上のリスクのあるアカウントを特定しました。
取引所は対策を開始し、影響を受けた各ユーザーに通知し、直ちにAPIキー、シークレットキー、および関連する自動化資格情報を無効化しました。「11月17日現在、影響を受けたすべてのCEXユーザーに通知され、関連するキーは無効化され、資産は安全です」とSlowMistはレポートで述べています。
しかし、分散型取引所のユーザーに到達することは比較的困難であると認めました。SlowMistは、彼らとBinanceチームがAsterおよび Hyperliquid のユーザーに直接連絡を試みましたが、「分散型ウォレットアドレスのため」連絡できなかったと述べています。
「AsterまたはHyperliquidで自動取引システムを使用している場合は、関連するリスクを直ちに確認し、対処してください」とセキュリティ企業はユーザーに警告しました。
AI取引エコシステムへの警告
SlowMistはまた、大規模なAIモデル量子化プロジェクトが増加していることを指摘しましたが、ほとんどのオープンソース実装はまだ初期段階にあります。
したがって、このような新興のオープンソースシステムを展開する者は、「金融損失を避けるために、徹底的なコードセキュリティ監査を実施し、リスク管理措置を強化する」よう助言されています。
セキュリティ企業は、NOFX AIチームおよびユーザーに対しても推奨事項を持っており、テンプレートキーが検出された場合はプログラムの実行を拒否し、明示的に構成され、強力なパスワードとOTP認証で保護されていない限り管理モードを無効にし、機密エンドポイントを再設計して非重要メタデータのみを返し、秘密鍵またはAPIキーへのアクセスには二次検証を要求することなどを提案しました。
同社は、「開発チームがこれらの修正を完了するまで、パブリックインターネットへの展開は高リスクと見なすべきである」と警告しました。
これをお読みいただいているあなたは、すでに一歩先を行っています。当社のニュースレターでその先を行ってください。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
ハンナ・コリーモア
Hannahは、暗号通貨分野でほぼ10年にわたるブログ執筆およびイベントレポートの経験を持つライター兼編集者です。Cryptopolitanでは、ニュースページに寄稿し、DeFi、RWA（実世界資産）、暗号通貨規制、AI、フロンティアテック業界の最新の動向を報告・分析しています。アーケディア大学でビジネス経営の学位を取得しています。
