クロスチェーンブリッジ安全事故回顧：十大攻撃ケース分析

近年、ブロックチェーン技術の発展に伴い、クロスチェーンブリッジは異なるパブリックチェーンエコシステムをつなぐ重要なインフラとなりました。しかし、大量の資金の流動を担っているため、クロスチェーンブリッジはハッカー攻撃の主要なターゲットにもなっています。この記事では、影響力のある10件のクロスチェーンブリッジ攻撃事件を振り返り、教訓をまとめ、業界の安全な発展に向けた参考を提供します。

! クロスチェーンブリッジの歴史における上位10件の攻撃の目録:19億ドル以上が関与し、15億5000万ドルが支払われたか回収されました

ChainSwap：ダブルヒットとトークンの再発行

2021年7月、ChainSwapはわずか9日間で2回のハッカー攻撃を受け、総損失は約880万ドルに上りました。2回目の攻撃は特に広範囲に影響を及ぼし、20以上のChainSwapを利用したクロスチェーンプロジェクトが影響を受けました。

調査によると、攻撃はプロトコルが署名の有効性を厳密に検証できなかったことに起因し、攻撃者は自己生成した署名を使用して取引を行うことができました。損失は主にガバナンストークンに関わるものであり、ChainSwapおよび複数の影響を受けたプロジェクトはスナップショットを行い、新しいトークンを発行して保有者および流動性提供者の損失を補償することを選択しました。

ポリネットワーク：史上最大規模の攻撃と予期せぬ転機

2021年8月、Poly Networkはクロスチェーンブリッジ史上最大規模の攻撃に遭遇し、資金は6.1億ドルに達しました。攻撃者は巧妙に契約の権限管理の脆弱性を利用し、成功裏にターゲットチェーンの検証者アドレスを改ざんしました。

しかし、この事件は劇的な展開を迎えました。攻撃者は最終的に全ての資金を返還することを選択し、Poly Networkによって「ホワイトハット」ハッカーと呼ばれました。この事件は、クロスチェーンブリッジが直面している巨大なセキュリティの課題を示すだけでなく、契約権限管理と検証メカニズムの強化の重要性を浮き彫りにしました。

マルチチェーン：隠れた脆弱性と部分的な補償

2022年1月、Multichainは複数のトークンに影響を与える重大な脆弱性を発見しました。脆弱性は修正されましたが、約600万ドルの資産が盗まれました。

脆弱性は、ユーザーが入力するトークンの妥当性チェックが不十分であることに起因し、特にすべてのトークンがpermit関数を実装しているわけではないことを考慮していません。Multichainチームは、盗まれた資金の回収に積極的に取り組んでおり、権限を取り消されたユーザーへの補償プランを提案していますが、処理の遅延による損失については責任を負いません。

QBridge:トークン検証エラーと巨額の損失

2022年1月末、貸出プロトコルQubitのクロスチェーンブリッジQBridgeが攻撃を受け、約8000万ドルの損失が発生しました。攻撃者は、QBridgeがホワイトリストトークンの送金を処理する際の重要な脆弱性を利用しました。

具体的には、QBridgeはゼロアドレスの二重検証に失敗し、攻撃者はBSC上で何のトークンも預けることなく、大量のxETHトークンを無から鋳造しました。これらの偽のトークンはその後、担保として使用され、Qubitから他のトークンを借り出し、プロトコルの資金プールを枯渇させました。

Meter.io:誤った仮定と革新的な支払い

2022年2月、Meter Passportクロスチェーンブリッジは「誤った信頼仮定」により攻撃を受け、440万ドルの損失を被りました。攻撃者は、基盤となるERC20預金機能の脆弱性を利用して、BNBとETHの送金を偽造しました。

Meterチームは革新的な補償プランを採用し、新しいPASSトークンを発行してユーザーの損失を補償し、将来の収益でこれらのトークンを買い戻すことを約束しました。このアプローチは革新的ですが、長期的な持続可能性についての議論も引き起こしました。

Ronin：ソーシャルエンジニアリング攻撃と巨額の資金調達賠償

2022年3月、Axie Infinityの背後にあるRoninチェーンは、巧妙に計画されたソーシャルエンジニアリング攻撃に遭い、最大6.2億ドルの損失を被りました。攻撃者は偽の求人会社を通じて、Sky Mavisのシステムに侵入し、最終的に十分な数のバリデータノードを制御しました。

盗まれた資金は回収されなかったが、Sky Mavisはユーザーの損失を補償するために1億5000万ドルの資金調達を迅速に完了した。この事件は、技術的な脆弱性に加えて、ブロックチェーンのセキュリティにおける人的要因の重要性を浮き彫りにした。

ワームホール：コアコントラクトの脆弱性と迅速な修正

2022年2月、クロスチェーンプロトコルWormholeはSolana側のコアコントラクトの署名検証エラーにより、3.26億ドルの攻撃を受けました。攻撃者は「ガーディアン」のメッセージを成功裏に偽造し、大量のwhETHを鋳造しました。

注目すべきは、Jump CryptoがWormholeに同額のETHを迅速に注入し、プロトコルが迅速に運営を回復できるようにしたことです。この行動は、強力なバックボーンがクロスチェーンプロジェクトの安全性にとって重要であることを示しています。

EvoDeFi：流動性危機とプロジェクトの消失

2022年6月、OasisエコシステムDEX ValleySwapにおいてUSDTが大幅にペッグを外れ、数百万ドルの損失が予想されました。問題は、使用されているクロスチェーンブリッジEVODeFiのソースチェーンでの流動性不足に起因しています。

この事件の処理過程は失望させるものであり、関係者は迅速に関係を清算し、プロジェクト側は実際に責任を回避することを選択しました。これは、クロスチェーンブリッジを選択する際に、プロジェクトの背景と責任の所在を考慮する重要性を浮き彫りにしています。

ホライゾン：秘密鍵の漏洩とコミュニティの補償に関する争い

2022年6月、Harmonyの公式クロスチェーンブリッジHorizonが攻撃を受け、約1億ドルの損失が発生しました。調査によると、攻撃はおそらく秘密鍵の漏洩によって引き起こされたとされています。

Harmonyチームは、トークンの増発によって3年以内にユーザーを補償する計画を提案しましたが、コミュニティの一致した支持を得ることができませんでした。この出来事は、プライベートキー管理の重要性を強調するとともに、大規模な攻撃の結果を処理する際に、各方面の利益をバランスさせることの難しさを反映しています。

Nomad：アップグレードの失敗とコミュニティの自主的な返還

2022年8月、Nomadは契約のアップグレード中の初期化エラーにより、約1.9億ドルの資金が盗まれました。この一見単純なエラーは、誰でもクロスチェーンブリッジから資金を引き出すことを可能にしました。

注目すべきは、一部のホワイトハッカーが資金を返還する意向を示していることで、コミュニティの自己浄化能力を示しています。しかし、この事件は、小さなアップグレードのミスでも壊滅的な結果をもたらす可能性があることを私たちに思い出させています。

まとめと示唆

これらの重大な攻撃事件を振り返ると、以下の点を得ることができます：

1. 技術監査は非常に重要です：ほとんどの攻撃は契約の脆弱性やアップグレードの失敗から発生し、包括的なコード監査の必要性を強調しています。

2. マルチバリデーションメカニズム：シングルポイントの障害は壊滅的な結果を引き起こす可能性があるため、複数階層のセキュリティ検証メカニズムを確立することが非常に必要です。

3. 高速応答能力：安全問題を迅速に発見し対処することで損失を大幅に減少させることができるため、効果的な監視および緊急応答メカニズムを確立することが重要です。

4. コミュニティの信頼とコミュニケーション：危機処理の過程で、コミュニティとの透明なコミュニケーションを維持し、合理的な補償案を提示することは、プロジェクトの長期的な発展を維持するために極めて重要です。

5. 人為的要因は無視できない：技術的な側面に加えて、社会工学などの人為的要因からくる安全リスクにも警戒する必要がある。

6. 資金準備と保険：十分な資金準備または保険メカニズムを備えていることで、安全事故が発生した際にユーザーの利益をより良く保護できます。

クロスチェーンブリッジは異なるブロックチェーンエコシステムをつなぐ重要なインフラであり、その安全性は暗号通貨市場全体の安定性に直接影響を与えます。開発者、投資家、ユーザーはこれらの出来事から教訓を得て、業界全体の安全基準を向上させるために共に努力すべきです。