Web3 攻撃事件及び安全事故

NEAR Intentsは、安全通知を発表し、攻撃を受けたことを確認しました。初期調査によると、脆弱性はOmniの入出金インフラと契約の相互作用の欠陥に起因しており、現在契約の脆弱性修正が完了し、1時間以内にコアサービスを復旧する予定であり、損失を受けた資産に対して全額賠償を約束しています。NEAR Intentsは、BSC、Polygon、TONなどの複数のパブリックチェーンの入出金サービスが追加で約12時間停止することを示しています。関連する事件は報告され、オンチェーン追跡が開始されています。その後、オンチェーン探偵のZachXBTは、NEAR IntentsのBSCホットウォレットで複数の異常な資金流出が発生し、盗まれた資金がKuCoinに転送され、さらにビットコインネットワークにクロスチェーンで移動されたと述べました。現在、関与している金額は380万ドルを超えています。

Blockaid の監視によると、Flamingo Finance が攻撃を受け、攻撃者は Morpho のフラッシュローンを通じて約 1800 万ドルの USDT を借り出し、取引の過程で Curve USDP LP をストラテジーに担保として預け入れ、VaultYUSDT のシェア価格を引き上げ、その後流動性 aUSDT を引き出しました。現在、攻撃者は約 34.59 万ドルの USDT 利益を実現しています。

Decrypt の報道によると、クロスチェーンブリッジプロトコル Allbridge はフラッシュローン攻撃を受けて Core プロトコルを一時停止しました。現在、攻撃者は Solana のステーブルコイン流動性プールから約 165 万ドルの資産を盗みました。ブロックチェーンセキュリティ機関 PeckShield と CertiK の分析によると、攻撃者は Solana の貸出プロトコル Kamino から 112 万ドルのフラッシュローン資金を借り入れ、その後複数回のステーブルコイン交換操作を通じて Allbridge プール内の価格メカニズムを操作し、低価格で資産を交換し、資金をクロスチェーンでイーサリアムアドレスに移転しました。攻撃の過程で、攻撃者は数千ドルの USDT を交換して約 224 万ドルの USDC を得て、その後資金をブリッジしてイーサリアムに移し、さらに分散させました。現在、一部の資金がまだ回収可能かどうかは不明です。Allbridge は、チームが安全上の理由から Core プロトコルを一時停止し、影響を受けた流動性提供者に対して直ちに資金を引き出すよう求めたと述べています。攻撃により流動性プールが不均衡になったため、一部のトレーダーはアービトラージの機会を利用して利益を上げ、Allbridge は関連ユーザーに収益の返還を呼びかけ、資金は影響を受けた LP の補償に使用されるとしています。チームは、現在ユーザーの資金にさらなるリスクは存在せず、調査が完了次第、詳細な事件分析報告を発表する予定であり、流動性プールを削除した状態で Core プロトコルを再度オンラインにする計画があると述べています。これは Allbridge にとって二度目の類似のフラッシュローン攻撃です。2023 年 4 月、同プロトコルの BNB Chain 流動性プールは類似の脆弱性により約 57.3 万ドルの損失を被り、その後プロジェクト側は大部分の資金を回収し、流動性計算メカニズムを調整したと述べています。

慢雾は安全警告を発表し、Aurellionが攻撃を受け、約455,003枚のUSDC（約45.5万ドル）を失ったと述べています。分析によると、脆弱性の根源はSafeOwnable Facetのinitialize(address)関数に有効な保護が欠如していることにあります。Diamondコントラクトがオーナーを設定する際にinitialize経路を通らなかったため、_initializedバージョンスロットが正しく更新されず、攻撃者はコントラクトを再初期化し、オーナー権限を上書きすることができました。その後、攻撃者はdiamondCutを呼び出して悪意のあるFacetを注入し、悪意のあるpullERC20機能を通じて承認されたユーザーのUSDC資産を移転し、最終的に資金を盗みました。

The Streetの報道によると、貸付契約PurrlendはMegaETHとHyperEVMネットワークで攻撃を受け、約152万ドルの損失を被った。攻撃者はHyperEVMネットワークから約120万ドルの資産を引き出し、449,683枚のUSDC、214,125枚のUSDT、194,745枚のUSDH、そして一部のUBTC、wstHYPE、UETH、kHYPE、WHYPEを含んでいる。攻撃者はさらにMegaETHネットワークから約32.4万ドルの資産を引き出し、USDT、WETH、USDmを含んでいる。現在、Purrlendはプロトコルを一時停止し、調査を開始しており、攻撃者のアドレスは両ネットワークのブロックブラウザで特定されている。