イーサリアム史上最大のセキュリティ事件：取引所コールドウォレットから146億ドルが盗まれた

2025-08-17 03:11:05

概要作成中

イーサリアム史上最大規模のセキュリティ事件：ある取引プラットフォームのコールドウォレットが14.6億ドルの損失を被る

2025年2月21日UTC時間午後02:16:11、ある有名な取引プラットフォームのイーサリアムコールドウォレットが悪意のある契約のアップグレードにより資金を盗まれました。このプラットフォームのCEOは、攻撃者がフィッシング手法を使ってコールドウォレットの署名者を誤って悪意のある取引に署名させたと述べています。この取引は正常な操作に偽装され、画面には通常の取引として表示されましたが、実際にハードウェアデバイスに送信されたデータは悪意のある内容に改ざんされていました。攻撃者は3つの有効な署名を取得し、Safeマルチシグウォレットの実装契約を悪意のあるバージョンに置き換え、資金を盗みました。この事件は約146億ドルの損失を引き起こし、Web3.0の歴史上最大規模のセキュリティ事件となりました。

! Bybitの盗難事件のテクニカル分析:デバイスの侵入が重要な要素である可能性があります

攻撃プロセス分析

攻撃者は事件が発生する三日前に、資金移転のバックドアと契約アップグレード機能を含む二つの悪意のある契約を展開しました。
2025年2月21日、攻撃者は3つのマルチシグウォレットの所有者を悪意のあるトランザクションに署名させ、Safeの実装コントラクトをバックドアを含む悪意のあるバージョンにアップグレードしました。
攻撃取引の"operation"フィールド値が"1"であり、GnosisSafeコントラクトが"deleGatecall"を実行することを示します。
この取引は、攻撃者がデプロイした別のコントラクトへの委託呼び出しを実行し、その中には"transfer()"関数が含まれており、呼び出し時にコントラクトの最初のストレージスロットを変更します。
Gnosis Safeコントラクトの最初のストレージスロットを変更することで、攻撃者は実装コントラクトアドレス（すなわち"masterCopy"アドレス）を変更しました。
攻撃者が使用する契約のアップグレード方法は、疑いを避けるために特別に設計されています。署名者の視点から見ると、署名されたデータは簡単な"transfer(address, uint256)"関数呼び出しのように見え、疑わしい"アップグレード"関数ではありません。
アップグレード後の悪意のある実装契約には、バックドア関数"sweepETH()"と"sweepERC20()"が含まれており、攻撃者はこれらの関数を呼び出すことでコールドウォレット内のすべての資産を移転しました。

! Bybitの盗難インシデントのテクニカル分析:デバイス侵入が重要な要素である可能性があります

根本原因分析

今回の事件の根本的な原因は、成功したフィッシング攻撃です。攻撃者はウォレット署名者を騙して悪意のある取引データに署名させ、契約が悪意を持ってアップグレードされ、攻撃者がコールドウォレットを制御し、全ての資金を移転できるようになりました。

このプラットフォームのCEOによると、事件が発生した際、チームは通常のコールドウォレットとホットウォレットの資産移動操作を実行していたとのことです。彼は、すべての署名者がインターフェース上で見るアドレスと取引データは正しく表示されており、URLは公式に確認されていると述べました。しかし、取引データがハードウェアウォレットに送信され署名される際、実際の内容が改ざんされていました。CEOはハードウェアデバイスのインターフェース上で取引の詳細を二重確認していなかったことを認めました。

現在、攻撃者がどのようにインターフェースを改ざんしたのかについては、結論が出ていません。オンチェーンのアナリストが提供した証拠によれば、この攻撃はある有名なハッカーグループによって計画され、実行された可能性があります。

! Bybitの盗難事件のテクニカル分析:デバイス侵入が重要な要素かもしれない

学んだ教訓と予防のための推奨事項

この事件は、2024年10月16日にあるDeFiプラットフォームで発生した5000万ドルの盗難事件に類似点があります。両方の事件は、デバイス侵入とインターフェース改ざんを含んでいます。このような攻撃がますます頻繁に発生していることを考慮し、以下の2つの側面に重点を置く必要があります。

1. デバイス侵入の防止

デバイスの安全性を強化する：厳格なエンドポイントセキュリティポリシーを実施し、先進的なセキュリティソリューションを展開する。
専用署名デバイスを使用：隔離環境で取引署名を行い、多目的デバイスの使用を避ける。
一時的なオペレーティングシステムを採用：重要な操作のために非永続的なオペレーティングシステムを構成し、環境をクリーンに保つ。
フィッシングシミュレーション演習を実施：高リスクな人々に定期的にフィッシング攻撃のシミュレーションを行い、安全意識を高める。
レッドチーム攻防演習を行う：実際の攻撃シナリオをシミュレーションし、既存のセキュリティ対策を評価し強化する。

! Bybitの盗難事件のテクニカル分析:デバイス侵入が重要な要因である可能性があります

2. ブラインサインのリスクを避ける

信頼できるプラットフォームを慎重に選択する：フィッシングリンクを避けるために、公式ブックマークを使用してアクセスし、信頼できるプラットフォームとだけやり取りする。
ハードウェアウォレットの二次確認：ハードウェアデバイスの画面で各取引の詳細を慎重に確認します。
取引シミュレーション：署名前に取引結果をシミュレートし、その正確性を検証します。
コマンドラインツールを使用する：グラフィカルインターフェースへの依存を減らし、より透明な取引データのビューを得る。
異常即終了原則：何らかの異常を発見した場合は、直ちに署名を停止し、調査を開始します。
二段階認証を実施する：独立したデバイスを使用して取引データを検証し、読み取り可能な署名認証コードを生成します。

! Bybitの盗難事件のテクニカル分析:デバイス侵入が重要な要因である可能性があります

この事件は、Web3.0業界における運用と保守の安全性に重大な欠陥が存在することを再び浮き彫りにしました。攻撃手段が絶えず進化する中で、取引プラットフォームとWeb3.0機関は、セキュリティ対策のレベルを全面的に向上させ、外部の脅威の継続的な進化に警戒する必要があります。

! Bybitの盗難事件のテクニカル分析:デバイス侵入が重要な要因かもしれない

! Bybitの盗難事件のテクニカル分析:デバイス侵入が重要な要因である可能性があります

ETH0.91%

原文表示

このページには第三者のコンテンツが含まれている場合があり、情報提供のみを目的としております（表明・保証をするものではありません）。Gateによる見解の支持や、金融・専門的な助言とみなされるべきものではありません。詳細については免責事項をご覧ください。

13 いいね