人気DeFiプラットフォームSturdy Financeがハッキングされ、$800,000を損失

分散型融資プロトコルであるSturdy Financeは本日、重大なセキュリティ侵害を経験し、442エーテル（約80万ドルに相当）の損失が発生しました。攻撃は、システム内の再エントリー脆弱性を悪用し、誤った価格オラクルを操作して資金を吸い上げる未知の個人によって行われました。

Sturdy Financeのような分散型金融（DeFi）アプリケーションでは、価格オラクルは現実世界の価格データを提供することで重要な役割を果たします。しかし、それらはまた、脆弱性を悪用してプラットフォームのセキュリティを侵害しようとするハッカーにとって主要な標的となることもあります。

Sturdy Financeへの攻撃は、再エントリー攻撃から始まりました。これは、DeFi プロトコルから不正に資金を引き出すために一般的に使用される手法です。この種の攻撃は、元の関数呼び出しが完了する前に、単一のトランザクション内で関数を繰り返し呼び出すことができるという能力を利用します。この抜け穴を活用して、攻撃者は正当に entitled（権利を持つ）よりも多くの資金を引き出すことができました。

Sturdy Financeセキュリティ侵害

攻撃者が関数呼び出しの制御を取得すると、彼らは価格オラクルを悪用し続けました。Sturdy Financeは、プロトコルがBalancer分散型取引所で管理する流動性プール内の資産の市場価値を正確に決定する責任を持つ、別個の「読み取り専用」スマートコントラクトに依存して価格オラクルを導出していました。しかし、攻撃者はオラクルを正常に操作し、Sturdy Financeから資金を流出させることを可能にしました。

セキュリティ企業BlockSecは、侵害の根本原因を、Balancerのシステムにおける典型的な再エントリー脆弱性と、B-stETH-STABLEの価格操作の組み合わせとして特定しました。

攻撃への対応として、Sturdy Financeはさらなる潜在的な損失を防ぐために、すべての市場を直ちに停止しました。チームは、ユーザーに追加の資金はリスクにさらされていないこと、およびユーザーから直ちに必要なアクションはないことを保証しました。彼らは、情報が利用可能になり次第、より多くの情報を提供することを約束しました。

攻撃の後、オンチェーンデータは、攻撃者がTornado Cashミキサーを使用して彼らの活動を隠蔽したことを明らかにしました。このミキサーは、プライバシーを強化し、ブロックチェーン上のトランザクションを追跡しにくくするために使用されるツールです。

この出来事は、分散型金融に関連する継続的な課題とリスク、および堅牢なセキュリティ対策の重要性を浮き彫りにしています。市場の停止というSturdy Financeの迅速な対応は、ユーザー資金の保護と潜在的な損失の軽減へのコミットメントを示しています。調査が進むにつれて、将来同様の攻撃を防ぎ、分散型融資プロトコルの全体的なセキュリティを強化するために、さらなる洞察が得られることを願っています。