Safe Wallet、15億ドルのBybitハッキングに関するアップデート、新たなセキュリティ強化策をリスト

2月21日の15億ドルのBybitハッキングの中心にあったマルチシグウォレットプラットフォームSafeは、サイバーセキュリティ企業Mandiantとの共同調査におけるハッキング調査の発見に関するアップデートを共有しました。また、ハッキングから得られた教訓と、暗号通貨コミュニティ全体のセキュリティを強化するために必要な措置についても詳細を明かしました。

米連邦捜査局（FBI）は、ハッキングの責任を北朝鮮の高度な持続的脅威グループ「TraderTraitor」に帰属させている。同グループは2022年にラザルス・グループやその他の名称で言及されてきた同一グループであると特定された。Mandiantは同グループをUNC4899と呼称しており、その帰属を確認したと、Safeは3月6日のX記事で述べた。ハッカーたちは北朝鮮政府の支援を受けている。

ハッキングは綿密に計画されていました

攻撃者は、職務遂行のために「より高いアクセス権限を持っていた」Safeの開発者のラップトップを侵害しました。また、多要素認証を回避するためにAWSセッショントークンをハイジャックしました。 

調査はまだ、コンピュータを侵害した後の攻撃者の行動を理解しようとしています。この作業は、攻撃者が完了後にマルウェアを削除し、Bash履歴を消去したという事実によって複雑になっています。BashはUNIX系オペレーティングシステムでプログラマーが使用するコマンドラインインターフェースです。

開発者のコンピュータは2月4日に侵害され、Safeが確立されました。攻撃者は翌日にSafeのAWS環境にアクセスしました。2月19日までにSafeのウェブサイトには悪意のあるJavaScriptコードが挿入されました。2月21日14時13分（UTC）、Bybitの攻撃が発生しました。悪意のあるコードは1分後に削除され、Bybitの強盗取引はその1分後に実行されました。

コンピュータはDockerプロジェクトを通じて侵害されました。Dockerはアプリケーションの設計に使用されます。ハッカーは以前、Dockerプロジェクトを使用してマルウェアを挿入していました。攻撃はBybitのマルチシグコールドETHウォレットの次の取引を標的としました。

BybitのCEOであるベン・ジュオ氏は、Safeから偽のリンクを受け取った後、あるETHをコールドストレージからホットウォレットへ移動させるための運命の取引を個人的に承認していた。

Bybitはハッキング当日、この取引は署名インターフェースを隠蔽し、正しいアドレスを表示しながら基盤となるスマートコントラクトロジックを変更する巧妙な攻撃を通じて操作されたと説明しました。

攻撃者はハッキングにおいてSafeのセキュリティの少なくとも5つの層を回避しました。Safeは、特定された脅威を排除しセキュリティを強化するために導入したいくつかのリセットと強化策をリストしました。Safeスマートコントラクトウォレットとそのソースコードはハッキングの影響を受けませんでした。

ハッキングは防止可能でした

Safeは結論として、Web3組織は「安全な取引管理を簡素化するための大幅なUX（ユーザーエクスペリエンス）の改善が必要」と述べています。「現在、取引への署名自体が最後の防御ラインであり、ユーザーが自分が署名している内容を理解できる場合にのみ効果的です。」

Safe{Wallet}と表記されることが多いSafeは、署名を保存し、取引がブロックチェーンに送信される前に必要な承認がすべて満たされていることを確認するためのチェックを実行するスマートコントラクトウォレットです。

Safeはハッキングで侵害されましたが、専門家はBybitの杜撰なセキュリティを非難しています。BybitはSafeの無料版サービスを使用しており、これは「暗号通貨の愛好家」により適していると説明されていました。一方、より洗練されたソフトウェアも利用可能でした。

Bybitは数ヶ月前から、このソフトウェアが他のセキュリティサービスと互換性がないことに気づいていました。これにより、ジョウは送金の全詳細を確認することができませんでした。

ハッカーは3月4日までに窃盗した499,000 ETHの全額を洗浄しました。