アクセス制御

慢雾セキュリティチームの発表によると、BonfireSwapルーターコントラクトはtransfer関数にアクセス制御の欠如があり、約5万ドルの損失を引き起こしました。この関数は、呼び出し元がfromアドレスであるかどうかを検証せず、呼び出し元がfromアドレスの資産に対する承認を確認していませんでした。そのため、攻撃者は事前に承認されたルーターのユーザーをfromアドレスとして設定し、自身をtoアドレスとして設定することで、被害者のTOKENを転送し、同じトークンプールで交換することができました。慢雾によると、合計41名のTOKEN保有者がこのルーターに承認を与えており、脆弱性のあるコントラクトアドレスは0x17e801e17cefc6334059189c178d4783830e03d3です。

SlowMistのセキュリティ警告によると、ether.fiのAtomicQueueコントラクトはsolve()関数にアクセス制御が欠如しており、約15.45 ETHが盗まれました。攻撃者はupdateAtomicRequest()を利用して悪意のあるリクエストを作成し、被害者のアドレスをsolverとして強制的に指定しました。その後、AtomicQueueは被害者のfinishSolveを呼び出し、want.transferFromを実行し、被害者が既に持っているERC-20の承認を悪用して資金を移転しました。SlowMistは既にether.fiチームに非公開で通知しており、攻撃者のアドレスと脆弱性のコントラクトアドレスは公開されています。

SlowMistの監視によると、GebProxyActionsコントラクトは呼び出し元のアクセス制御が不足しているため、約5.9436枚のETHが失われました。被害者のユーザーは、DSProxyを介さずに直接GebProxyActions.quitSystemを呼び出したため、ownsSAFE[safe]がGebProxyActionsコントラクトに設定されました。攻撃者は直接GebProxyActions.quitSystem(manager, safe, dst)を呼び出し、GebSafeManagerのsafeAllowedチェックを回避して、担保を自身に移転しました。

SlowMist の監視によると、ONTR トークン契約は onlyOwner 修飾子にアクセス制御の脆弱性が存在し、49.4801 枚の WETH、約 9.8 万ドルの損失を引き起こしました。攻撃者 (0xe806...b760) はこの脆弱性を利用し、owner が address(0) の時に権限チェックを通じて transferOwnership() を呼び出し、攻撃者の契約を owner に設定しました。その後、desertJasper() を呼び出して隠れた残高をキューに追加し、さらに glenFlash() を呼び出して ashBud() を実行し、アドレスの残高を 1e30 基本単位増加させましたが、totalSupply は増加しませんでした。攻撃者は膨張したトークンを PancakePair (0xd46d...83fd) に移動し、swap() を通じて WETH に交換しました。

ChainCatcher のメッセージによると、BlockSec Phalcon が明らかにしたところ、同システムはイーサリアム上で2つの未知のコントラクトに対する複数の疑わしい取引を検出し、約12万ドルの損失を引き起こしました。攻撃者は、被害を受けたコントラクト内の approveERC20 と withdrawAll の重要な関数にアクセス制御の欠陥を利用し、コントラクト内のトークンを成功裏に引き出しました。これらの被害を受けたコントラクトはオープンソースではなく、すべて同一のアドレスによって展開されています。

ChainCatcher のメッセージによると、市場の情報では、BlockSec Phalcon のアラートがあり、そのシステムが「transferFrom」の問題を検出し、Base チェーン上で約 9 万ドルの損失が発生したとのことです。この問題は、アクセス制御の不足によりコールバック関数内に任意の低レベル呼び出しが存在することが原因です。未知のコントラクト 0xD9f4a3238154ff6439e37F98c9B11489353715Bb に対するすべての承認を直ちに取り消すことをお勧めします。

ChainCatcher のメッセージ、分散型キー管理ソリューション Seal がメインネットのローンチを発表し、このプロトコルに基づいて構築された開発者に暗号化とアクセス制御機能を提供します。Seal のリリースに伴い、Walrus はオンチェーンアクセス制御をネイティブにサポートする最初の分散型データプラットフォームとなり、任意の規模のアプリケーションにおいてプログラム可能なデータアクセスのソリューションを統合し、強力なアクセスポリシーの下での専有トレーニングデータや微調整モデルの共有、トークンゲートのサブスクリプションサービス、ダイナミックゲームコンテンツなど、より多くのユースケースを解放します。現在、Inflectiv、Vendetta、TensorBlock など、Walrus に基づく数十のプロジェクトが Seal を使用しており、オンチェーンの暗号化とアクセス制御の即時的な実用価値を示しています。さらに、OneFootball は Walrus + Seal を使用して内蔵の著作権管理コンテンツを提供する計画であり、Watrfall は Walrus + Seal を利用して新しい発行、所有権、ファンインタラクションモデルを解放しています。Alkimi は Walrus 上で毎日 2500 万回以上の広告表示を処理しており、Seal を通じて顧客データの機密性を確保しています。Seal は Sui ブロックチェーンのオリジナル貢献者である Mysten Labs によって発表され、Move を通じてプログラム可能なアプリケーション特有のアクセス制御ロジックを実現し、アイデンティティと閾値に基づく暗号化技術を使用して、クライアントの暗号化/復号化プロセスをシームレスかつ安全に実行します。

ChainCatcher のメッセージ、SlowMist テクノロジーの最高情報セキュリティ責任者 23pds がツイートしました「KiloEx が攻撃された根源は、価格オラクルのアクセス制御に重大な脆弱性が存在することです。簡単に言うと、オラクルは信頼できる役割によって価格情報を更新されるべきですが、必要な権限制限が欠如しているため、攻撃者は検証メカニズムを回避し、任意に資産価格を改ざんし、契約ロジックを操作することができました。」

ChainCatcher のメッセージによると、公式の発表として、分散型アクセス制御プロトコル Lit Protocol が LITKEY トークンの経済学を発表しました。その中で：エコシステムのエアドロップの割合は 4.8%、投資家の割合は 16%、公募の割合は 6%、プライベートセールの割合は 3%、開発チームの割合は 29.1%、エコシステムのインセンティブの割合は 41.1% です。

ChainCatcher のメッセージ、SlowMist は 0x452E2 で始まるアドレスが uniswapV3SwapCallback 関数のアクセス制御が欠如しているために 27.3 ETH を失ったことを監視しました。

链捕手のメッセージ、Web3 アクセス制御プロトコル Lit Protocol が 1300 万ドルの A ラウンドの資金調達を完了し、1kx が主導しました。このラウンドの資金は、分散型の所有権とクロスプロトコルの相互運用性を構築するために開発チームの拡充に使用されます。報告によると、Lit はアクセス制御、計算、暗号化のネットワークであり、ユーザーに対してイーサリアム仮想マシン (EVM)、DeFi、DAO、NFT で相互運用可能な秘密鍵を提供することで、ユーザーのデータとデジタル資産に対する安全性と自主権を高めることを目的としています。（CoinDesk）