safe契約

ChainCatcher のメッセージによると、慢霧が発表したところによれば、2025 年 2 月 21 日、Bybit のオンチェーンマルチシグウォレットが標的攻撃を受け、約 15 億ドルの資産が「合法的な署名」の取引によって静かに流出したとのことです。事後のオンチェーン分析によれば、攻撃者は精密なソーシャルエンジニアリング攻撃を通じてマルチシグ権限を取得し、Safe コントラクトの delegatecall 機能を利用して悪意のあるロジックを埋め込み、最終的にマルチシグ検証メカニズムを回避して資金を匿名アドレスに移転しました。「マルチシグ」は「絶対的な安全」とは限らず、Safe マルチシグウォレットのような安全メカニズムであっても、追加の防護措置が欠如している場合、攻撃を受けるリスクが依然として存在します。Bybit が使用しているのは v1.1.1 (<1.3.0) バージョンの Safe コントラクトであり、これは彼らが Guard メカニズムという重要なセキュリティ機能を使用できないことを意味します。もし Bybit が 1.3.0 以上のバージョンの Safe コントラクトにアップグレードし、資金を受け取るための唯一のホワイトリストアドレスを指定し、厳格なコントラクト関数 ACL 検証を実施していれば、今回の損失を回避できたかもしれません。これはあくまで仮定ですが、将来の資産安全管理に重要な考え方を提供します。

ChainCatcher のメッセージによると、SlowMist の余弦が X プラットフォームで発表したところによれば、Safe コントラクトには問題がなく、問題はコントラクト以外の部分にあり、フロントエンドが改ざんされて偽造され、欺瞞効果を達成しているとのことです。これは個別のケースではありません。北朝鮮のハッカーは昨年、いくつかの企業を攻撃しました。例えば：WazirX 230M USDT Safe マルチシグRadiant Capital 50M USDT Safe マルチシグDMM 305M USDT Gonco マルチシグこのような攻撃手法は工学的に成熟しています。他の企業も注意が必要で、マルチシグには Safe 以外にもこのような攻撃ポイントが存在する可能性があります。