イーサリアムネットワーク上で3日連続の高額取引手数料異常送金事象の分析

最近、イーサリアムネットワーク上で3日以内に異常に高額な取引手数料の送金が3件ありました。

チェーン上のデータによると、多額の取引手数料がかかった最新の取引は、MiningPoolHub というラベルの付いたアドレスから 0xe38 で始まるアドレスに 3,221 ETH を送信するもので、この取引の取引手数料は 2,310 ETH (約 54 万ドル) にも達しました。 。チェーン上のデータによると、この異常な手数料トランザクションを含むブロックは F2Pool によってパッケージ化され、生成されました。トランザクションの詳細は次の図に示されています。

成都連南脅威情報システムの警報情報によると、これは近い将来、異常に高額な取引手数料がかかる取引は3件目となる。

これらの異常に大規模な取引取引について、成都連安安全研究所の分析チームが同社の主力製品であるBeosin-AML（マネーロンダリング防止および調査および証拠収集システム）を使用して分析した後、3回目の2310ETH取引手数料の開始者はマイニング・ザ・プールハブのマイニングアドレス、本日（2020.6.12）のトランザクションでアドレス残高をクリアするために最大0.11イーサ（110000000Gwei）のガス価格が設定されたアドレス0xe386eで始まり、残りは最大2310イーサ（0.11ガス価格）使用した 21000 ガスを乗じた金額) が、パッケージ化されたトランザクションの F2Pool アドレスにトランザクション手数料として支払われます。

この取引の取引手数料は異常である可能性が高いですが、ウォレット残高が一度に空になり、Gas消費に使える残高がなくなり、「脅威」の攻撃ロジックに合致しないため、取引所を対象とした異常取引と疑われる二つの取引には直接の関連性はない可能性がある。チェーン上のトランザクション データから、アドレスは現在通常の使用を再開していることがわかり、秘密キーのセキュリティが脅かされるべきではなく、このアドレスではこれ以上異常なトランザクションが発生していないことがわかります。

複数のウォレット監査の経験によると、トランザクションの異常は主に、攻撃者が何らかの方法でトランザクションを乗っ取り、ガス価格を設定することによって引き起こされる可能性があり、トランザクションが署名される前に、ガス価格が直接異常な値に設定され、それによって発生する合法的な異常なトランザクション。

なお、これに先立ち、6月10日から2日間に異常に高額な取引手数料がかかる取引が2件あったことも注目に値する。最初のトランザクションは 6 月 10 日 17:47 に発生しました。10237208 の高さでは、10668.73185 ETH もの高いトランザクション手数料がありました。0xcdd6a2b で始まるアドレスから 0x12d8012 で始まるアドレスに 0.55 ETH が転送されました。このためのパッケージ マイニング プールtransfer スパークマイニングプールです。取引状況は以下の図に示されています。

2回目の取引は6月11日午前3時30分に発生し、取引手数料は10668.7ETHという高額で、これも0xcdd6a2bで始まるアドレスから送金されました。トランザクションの詳細は次の図に示されています。

イーサリアムでは取引手数料の異常は常に発生しており、新しい問題ではありません。しかし、チェーン上の取引手数料の継続的な追跡と分析によると、このようなインシデントの最も一般的な原因は、手動で構築された取引における手数料単位や桁の間違いなどの危険な要因であることが多いです。この事件がより注目を集めている理由は、主に疑わしい交換アドレスが関与しているためです。取引所は通常、ユーザーが出金などの取引を実行する際の取引手数料を高度に自動化された特殊な制御を行っています。これに基づいて、取引所がこれらの「低レベルの間違い」を犯す可能性は一般的に低いと考えられます。

取引所にとって、このような事態を回避するにはどうすればよいでしょうか?取引所のサービス セキュリティ アーキテクチャに関する当社の経験によると、取引所が独自のホット ウォレット サービスとコールド ウォレット サービスを展開する場合、ビジネスとデータを取引所の主要サービスから分離し、出金や出金などの操作の数が増加する必要があります。特定のレビューメカニズム。ビジネス セキュリティの場合、システムとビジネスのセキュリティを強化するために、対応するビジネス セキュリティ リスク管理システムを導入する必要があります。