秘密鍵の漏洩

Lookonchain の報告によると、クジラアドレス "TLBL" が再び重大な資産安全事件に見舞われ、累積損失は 5,000 万ドルを超えました。このアドレスは、2年前にフィッシング攻撃により約 2,400 万ドルを失ったことがあります。そして、最新の事件では、プライベートキーの漏洩が原因とされ、3つのウォレット内の 2,600 万ドル以上の資産が全て転送されました。この事件は再び市場における高ネットワースチェーン上アドレスの安全管理リスクへの関心を呼び起こしました。

BNBChain の非中央集権的資産管理プロトコル Swan Treasury は、秘密鍵の漏洩により約 62.5 万ドルの損失を被りました。攻撃者は自ら保有するアドレスで有効な署名を偽造し、100 倍の割引で STY を購入し、PancakeSwap のフラッシュローンを利用して約 1.97 万枚の USDT で約 68.7 万枚の STY を購入しました。その後、兄弟コントラクト上で claim() と transfer の署名を偽造し、STY を STY/USDT プールに投げ売り、約 62.5 万枚の USDT を得ました。取引中の各 ecrecover は正確なハードコーディングされた署名者に解釈され、鍵自体が漏洩したことを確認し、署名ロジックの欠陥ではないことが明らかになりました。

Solv Protocol は X プラットフォームで発表し、7 月 13 日に BNB Smart Chain 上の BTC+ コントラクトがセキュリティ事件に遭遇したと述べました。調査の結果、攻撃者がデプロイ者のプライベートキーに侵入し、BSC 上の BTC+ ミント代理コントラクトをアップグレードし、無許可の BTC+ トークンを鋳造したことが判明しました。チームは 3 時間以内に緊急対応を完了し、悪意のあるコントラクトを隔離し、すべての無許可の BTC+ を凍結、破棄、または隔離しました。すべての基盤となる BTC 資産は安全です。予防措置として、BTC+ の申込および償還は一時停止されており、2 週間以内に再開される予定です。BTC+ はこれまでにいかなる DEX にも公式流動性プールを設けておらず、ユーザーは Solv の公式チャネルを通じてのみ BTC+ を取得し、保有するべきです。チームはデプロイ者のセキュリティ対策をアップグレードし、影響を受けたすべてのアクセス認証情報と署名キーをローテーションし、包括的な外部再監査を開始しました。詳細な事後分析報告書は後日発表される予定です。

チェーン分析師の余烬によると、「プライベートキーの漏洩」により、Hの増発と売却はすでに13時間続いており、いわゆる「ハッカー」はBSCチェーン上でHを増発し、売却を続けており、プールの最後の1セントを搾り取っています。「ハッカー」はすでに3億枚のHを増発し、合計で約4.5億枚を売却し、3400万ドル（ETH + BNB）を現金化しました。BSC上のHのプールは流動性がわずか13ドルしか残っておらず、Hの価格は99.9%下落し、0.0009ドルになっています。一方、CEXの永久契約価格は0.09ドルで、価格差は100倍です。本質的に、すでに2つの無関係なコインに脱鎖されています。

チェーン上の探偵ZachXBTは、Humanityの3100万ドルのセキュリティ事件について更新を発表しました。資金の流れをさらに分析した結果、ZachXBTはチームが「監守自盗」や「自導自演」ではない可能性が高いと考えています。公式発表で明らかにされた秘密鍵の漏洩は事実ですが、ロック解除前にHトークンを引き上げたため、ハッカーに先を越されました。秘密鍵の漏洩と以前の異常な引き上げは独立した事件であるべきです。ZachXBTはまた、チームがトークンのロック解除前に、疑わしいマーケットメイキング契約や店頭の大口取引を通じてHトークンの価格を人為的に引き上げ、投資家/初期貢献者のロック解除（6月25日頃）前にスムーズに出荷するか、売り圧を軽減することを疑問視しています。

Humanity Protocolの創設者Terence KwokがXプラットフォームで安全事件が発生したことを確認し、この事件はHumanity財団のメンバーの秘密鍵の漏洩に関係していると述べました。安全のため、ユーザーには安全が確認されるまでクロスチェーンブリッジや任意の流動性プールと相互作用しないことをお勧めします。チームは安全専門家や取引所のパートナーと協力して問題を解決しています。以前の報道によれば、Humanity Protocolに関連するアドレスが3100万ドル以上盗まれました。

オンチェーンデータによると、StakeDAOのデプロイヤーの秘密鍵がArbitrum上で漏洩し、攻撃者は約5.45兆枚のvsdCRVを鋳造し、その一部を43.7枚のETHに交換しました。

Polymarketの副社長Josh Stevensによると、ZachXBT、BitcoinVN、ChangeNOWの協力を得て、Polymarketの秘密鍵漏洩事件で16.4万ドルの資金が凍結されており、移転された総額57.32万ドルの約28.6%を占めています。Joshは、この事件がPolymarketやUMAのスマートコントラクトに影響を与えておらず、ユーザーの資金は安全で、プラットフォームは正常に運営されていると述べています。調査によると、事故は約6年前から存在する秘密鍵の漏洩に起因しており、その秘密鍵は内部のチャージ設定に使用されていたため、資金が影響を受けたアドレスに継続的に送信されていました。現在、関連チームは盗まれた資金の残りの流れを追跡し続けています。

PolymarketのスタッフShantikiran ChanalはXプラットフォームで、報酬の配布に関連するセキュリティレポートに注目しており、ユーザーの資金と市場の決済は安全な状態にあると述べました。調査結果は、内部運営に使用されるウォレットの秘密鍵が漏洩したことを示しており、契約やコアインフラストラクチャの問題ではありません。今後、さらなる更新が発表される予定です。以前の情報では、ZachXBTはPolymarketのUMA CTFアダプター契約がPolygon上で攻撃を受けた疑いがあると述べており、現在52万ドル以上が流出しています。

GoPlus の発表によると、過去 36 時間以内に新たに 2 件の公開鍵漏洩事件が発生し、総損失は 23.8 万ドルに達しました。そのうち 0xUnihax0r は 20 万ドルの損失を被り、取引ボットや Telegram をアップロードしたことがあります；@Eli5defi の盗まれたアドレスは、以前の 574 件のアドレスの大規模な秘密鍵漏洩事件と関連しています。GoPlus は、このような集中型の大規模秘密鍵漏洩を考慮し、直ちに秘密鍵漏洩自己検査チェックリストに従ってリスクを調査することを推奨しています。

Syndicateは、以前の安全事件に関する更新を発表し、秘密鍵の漏洩により2つのチェーン上のブリッジ契約が悪意を持ってアップグレードされ、約1850万枚のSYND（約33万ドル）および約5万ドルの顧客トークンが盗まれたと述べました。影響を受けたユーザーは全額賠償を受け、SYND保有者には追加の補償が提供されます。攻撃は多段階の偵察、インフラストラクチャのマッピング、脆弱性の開発および正確なタイミングを含み、内部関係者の関与の可能性は排除されました。脆弱性の根本原因は、秘密鍵がパスワードマネージャに保存されており、アップグレードプロセスがマルチシグやハードウェア署名を使用していなかったことです。Syndicateは、パスワードマネージャの外に暗号化層を追加し、アップグレード経路にマルチシグまたはハードウェア署名を採用するなど、セキュリティ対策を強化しています。

過去10年間の累積損失は171億ドルで、518件の事件が関与しています。過去5年間では約152億ドルの損失があり、450件以上の事件が関与しています。過去1年間では約25億ドルの損失があり、140件以上の事件が関与しています。最近の損失は、暗号攻撃がスマートコントラクトの脆弱性から秘密鍵の漏洩とアクセス制御に移行していることを示しています。

アナリストは、IoTeXの秘密鍵が漏洩した疑いがあり、資産損失は約430万ドルであると述べています。一方、IoTeXの公式は、チェーン上の攻撃による損失は約200万ドルであると報告しています。

オンチェーンアナリストのSpecterはXプラットフォームで、IoTeXでプライベートキーの漏洩事件が発生した可能性があり、そのトークンセーフの資産が攻撃者によって全て転送され、累計損失は約430万ドルに達したと発表しました。オンチェーンデータによると、攻撃者は複数のコントラクト資産を移転しました。これにはUSDC、USDT、IOTX、PAYG、WBTC、BUSDが含まれます。その後、盗まれた資産はETHに交換され、そのうち約45枚のETHがクロスチェーンブリッジを通じてビットコインネットワークに転送されました。この事件はまだ確認が進行中です。

据 PeckShield 监测，钱包地址 0x1209...e9C と 0xaac6...508 は秘密鍵の漏洩により攻撃を受け、約 230 万ドルの USDT が盗まれました。攻撃者はその後、これらの USDT を 757.6 枚の ETH に換え、TornadoCash を通じて資金洗浄を行いました。

据派盾 PeckShieldAlert 监测，一名巨鲸用户的多重签名钱包因私钥泄露被盗，损失约 2730 万美元。黑客已通过 TornadoCash 洗钱 1260 万美元（折合 4100 枚 ETH），并持有约 200 万美元的流动资产。此外，盗取者还控制了受害者的多签钱包。该钱包在 Aave 平台上持有杠杆多头仓位：存入价值 2500 万美元的 ETH 作为抵押，借出了 1230 万枚 DAI。

据链上侦探 ZachXBT 披露，约 23 小时前一名受害者在五个 EVM 链上钱包发生异常转账，总损失约达 110 万美元，疑为私钥泄露所致。攻撃者は迅速にすべての資産をETHに交換し、そのうち330枚のETHをTornado Cashに転送して混合処理を行った。

ChainCatcher メッセージ、"DOODI" IP を中心とした Solana エコシステムのミニエンターテイメントプロジェクト DoodiPals が安全チェックを完了後に再起動することを発表；ハッカー事件発生前に DOODI を保有していたユーザーには 1:1 で補填される。プロジェクト側は DOODI の購入を一時停止し、今後の発表を待つようにと呼びかけており、状況は制御されており、再起動後は正常に戻ると述べている。以前、安全研究者の Cos は、秘密鍵の漏洩により、数十のアドレスから $DOODi が盗まれ、SOL に換金されたと述べており、ハッカーは約 917 SOL の利益を得た。

ChainCatcher のメッセージによると、派盾 PeckShieldAlert の監視により、被害者アドレス 0x0cdC...E955 がプライベートキーの漏洩により Hyperliquid で約 2100 万ドルの暗号資産を失ったことが報告されています。ハッカーは盗まれた資金をクロスチェーンでイーサリアムに移転し、1775 万 DAI と 311 万 MSYRUP-USDP を含んでいます。

ChainCatcher のメッセージ、SlowMist セキュリティチームが発表したところによると、広く使用されている elliptic 暗号ライブラリに重大な脆弱性（GHSA-vjh7-7g9h-fjfh）が発見されました。攻撃者は特定の入力を構築することで、1 つの署名だけで秘密鍵を抽出できる可能性があり、これによりデジタル資産やアイデンティティ証明書が盗まれる恐れがあります。この脆弱性は、この暗号ライブラリに依存するブロックチェーンアプリケーションやデジタルアイデンティティシステムに影響を与える可能性があります。