スローミスト: 2021 年の典型的なセキュリティ インシデントを棚卸しし、ブロックチェーンの生態学的セキュリティ状況を検討する

最初のレベルのタイトル

副題

ポリシー、コンプライアンス、規制

国内環境の観点からは、一方で政府はブロックチェーン技術の研究開発と応用に重点を置いており、工業情報化部はブロックチェーンなどのサービス能力が大幅に向上すると指摘した。 2025 年までに、その一方で、政府は仮想通貨に対する規制を引き続き強化する予定です。 9月には複数の部門が「仮想通貨取引における誇大広告のリスクのさらなる防止と対処に関する通知」を発表し、国家発展改革委員会と他の部門は共同で「仮想通貨の「マイニング」活動の是正に関する通知」を発表した。関連資料によると、2021年に国家レベルで発行されたブロックチェーン関連コンテンツに関連する政策文書には、大学研究、人材育成、技術応用基準、知的財産権、デジタル農業、船舶輸送、伝染病の予防と制御、ネットワークセキュリティ、社会問題が含まれていることが示されている。支援の、デジタルカルチャー産業など

海外環境の観点から見ると、各国政府は引き続き仮想通貨に注目しており、仮想通貨の監督は徐々に改善され、政策は徐々に自由化されています。世界的なマネーロンダリング対策機関である金融活動作業部会が仮想通貨の最新規制ガイドラインを発表、韓国ソウル市が公共サービス「メタバースプラットフォーム」を構築、米国テキサス州仮想通貨法が正式発効; エルサルバドルでビットコインが正式に法定通貨となった; ウクライナ議会が仮想資産法案などを可決した。

見てわかるように、副題

テクノロジー、アプリケーション、経済

我が国「ブロックチェーン＋産業」2021年、

2021年、ブロックチェーン基盤技術セキュリティインシデント

セキュリティインシデント

ブロックチェーン技術は両刃の剣です。その分散化、匿名性、改ざん不可能な特性により産業の進歩が促進される一方で、ブロックチェーンのセキュリティ問題も大幅に増加しています。仮想通貨犯罪はマネーロンダリング、詐欺、窃盗、麻薬密売など多岐にわたります。 、鉱山犯罪が多発しています。

画像の説明

(出典: hacked.slowmist.io)

その中には、さまざまなエコロジーDAppsとDeFiのセキュリティインシデントが170件、取引所のセキュリティインシデントが15件、パブリックチェーンのセキュリティインシデントが8件、ウォレットのセキュリティインシデントが3件、その他の種類のセキュリティインシデントが35件ありました。

2018年以降、全体的な損失傾向は依然として増加傾向にあります。

最初のレベルのタイトル

パブリックチェーン

パブリックチェーン

BSV が 51% の攻撃を受けています

8月4日、BSVは51％の攻撃を受けた疑いがあり、100近くのブロックが再編成された。

ETC メインネットがフォークに遭遇する

9 月 4 日、イーサリアム クラシック (ETC) は、イーサリアム クライアント Geth の脆弱性により ETC メインネットがフォークに見舞われたとツイートしました。

Solana のメインネット ベータ版がサービス拒否攻撃を受ける

9 月 14 日、パブリック チェーン Solana のメインネットのベータ版は北京時間 19 時 52 分から不安定になり始め、9 月 21 日、Solana はネットワーク中断の予備的な概要を正式に発表しました。資金の損失はなく、24 時間以内に完全な機能が回復しました。ネットワークのダウンタイムの原因は、サービス拒否攻撃です。 UTC 12:00 に、Grape Protocol が Raydium 上で IDO を起動し、ボットが生成したトランザクションがネットワークを混雑させました。これらのトランザクションによりメモリ オーバーフローが発生し、多くの検証ノードがクラッシュし、ネットワークの速度が低下し、最終的には停止することを余儀なくされました。

ゆっくりとした霧の眺め

交換

交換

クリプトピアが再びハッキングされる

2月20日、ニュージーランドの取引所クリプトピアが再びハッキングされ、調査の結果、ハッカーが2019年1月のハッキング以来休止状態だったウォレットにアクセスしたことが判明した。このウォレットは Stakenet に属し、Cryptopia 清算人 Grant Thornton によって管理されています。調査結果によると、休眠中のウォレットには約196万ドル相当のXtake（Stakenetのネイティブトークン）が保管されていた。

リキッドホットウォレットがハッキングされる

8月19日、日本の仮想通貨取引所リキッドはホットウォレットが攻撃を受けたと発表した。スローミストAMLチームはマネーロンダリング対策追跡システム「ミストトラック」を利用して統計を分析、リキッドは総額約9135万ドル（事件当日の価格に基づく）を失い、盗まれた通貨にはビットコイン（BTC）が含まれていた。 ETH、ERC20トークン、TRX、TRC20トークン、XRP 通貨は70種類以上あり、その金額は驚くほど高額です。

ゆっくりとした霧の眺め

取引所のセキュリティは取引所とユーザーの最大の関心事となっており、取引所存続の鍵となっています。特に今年の第4四半期にはさまざまな取引所が次々と攻撃され、大きな損失が発生した。

取引所が頻繁に攻撃される理由としては、(1) 取引所は多額の資金が集まり、常にハッカーの標的となっている、(2) 多くの場合、取引所の防御力が弱く、セキュリティホールが発生しやすく、簡単に攻撃される（３）利用者のセキュリティ意識が十分でない、（４）内部犯罪。

財布

財布

レジャーウォレットが複数回漏洩

6月18日、ビットコインハードウェアウォレットプロバイダーのレジャーは、偽のレジャーハードウェアウォレットを使用してユーザーの資産を騙し取る一連の新種の詐欺が最近発生していることをユーザーに注意を喚起し、1年前に情報が漏洩した一部のユーザーはハードウェアウォレットの交換要請を受けていた.パッケージには、偽の公式レターと改ざんされたLedgerハードウェアウォレットが含まれていました。 Ledgerは、「資金を保護するために既存のハードウェアウォレットを交換する必要がある」という手紙は詐欺であり、添付されていたLedger Nanoも偽物であると述べ、ユーザーが手紙の指示に従ってシードワードを入力すると、ユーザーの暗号化されたワードが暗号化されてしまうと述べた。資産が盗まれます。

複数のChivo財布が盗まれる

Chivo Wallet は、ビットコイン法を施行するためにエルサルバドル政府が 9 月 7 日にリリースした国家デジタルウォレットであり、この目的のために、エルサルバドルは Chivo Wallet をダウンロードして認証したユーザーに 30 ドルのビットコイン報酬を受け取ることを約束しています。この動きにより、エルサルバドルの公式ウォレットが 1 か月以内に 200 万人以上のユーザーに利用されるようになりました。しかし、10月9日から10月14日までの間に、エルサルバドルに本拠を置く人権団体Cristosalは、チボウォレットのIDが盗まれたと報告するエルサルバドル人に関する通知を755件受け取った。

ゆっくりとした霧の眺め

副題

DApp、DeFi、NFT、クロスチェーン

(1) ETHの生態

SushiSwapが再びハッキングされる

1月27日、SushiSwapは再び攻撃を受け、81ETHを失いました。この攻撃は SushiSwap の最初の攻撃に似ており、どちらも取引ペアの為替価格を操作して利益を生み出します。この攻撃は、DIGG 自体が WETH のトランザクション ペアを持っていないことを利用し、攻撃者がこのトランザクション ペアを作成して初期取引価格を操作した結果、手数料交換プロセス中に大幅なスリッページが発生しました。 DIGGとWETHの初期流動性を提供し、巨額の利益を獲得します。

SIL盗難後に1,215万ドルを回収

3月19日、DeFi集約金融サービスのSIL.Finance契約に高リスクの脆弱性が出現した。その後、SIL.Finance は、インシデントはスマート コントラクトの許可の脆弱性によって引き起こされ、汎用のフロントランニング トレーディング ロボットが利益を得るために一連の取引を送信することを引き起こしたと述べた文書を発行しました。高リスクの脆弱性によりスマート コントラクトを撤回できないことが判明した後、SlowMist およびその他の関係者による 36 時間の労力の末、1,215 万米ドルの回収に成功しました。

(2) BSC の生態

複合的な脆弱性と提案

9月30日、分散型融資プロトコルであるCompoundは、プロポジション62の実装後、プロトコルの流動性マイニングにおいてCOMPトークンの異常な分布があったことをTwitter経由で確認し、Compound Labsとコミュニティメンバーが調査を行っている。コンパウンド氏は、これまでのところ預金や借り入れ資金が危険にさらされているとは確認されていないと述べた。 Compound の創設者である Robert Leshner 氏によると、問題は、提案 62 に基づく COMP トークン配布の初期レートが誤って設定され、その結果、配布される COMP トークンが多すぎることにあるようです。 10 月 4 日、Compound が抜け穴を修復しようとしたちょうどそのとき、drip() 関数のトークン配布コントラクトの呼び出しにより、すでに脆弱な流動性マイニングにさらに 6,880 万ドル相当の COMP トークン (合計 202,472 COMP) が注入されました。

クリーム・ファイナンスが3件の攻撃を受ける

10月27日、DeFi融資協会であるクリーム・ファイナンスが攻撃を受け、約1億3000万ドルを失った。盗まれた資金は主にCream LPトークンとその他のERC-20トークンでした。これは、これまでで3番目に大規模なDeFiハッキングであると報告されています。さらに、クリーム・ファイナンスはこれまでにも複数回のフラッシュ・ローン攻撃を受けており、2月には3,750万ドル、8月にはさらに1,900万ドルを失った。

(3) EOSの生態

flash.sx スマート コントラクトがリエントラント攻撃を受けました

5月14日11時28分（協定世界時）以降、flash.sxフラッシュローンスマートコントラクトに「リエントリー」攻撃の脆弱性が発生し、約120万EOSと46万2000USDTが相次いで盗まれた。公式情報筋によると、EOS Nation の Lightning Loan がハッキングされた後、プロジェクト当事者はハッカーの EOS アカウント権限を直接変更し、資産を返還する提案を開始しました。

ピザがハッキングされた

12 月 8 日午後 8 時、ハッカー アカウント itsspiderman はオーバーフローの脆弱性を利用して、eCurve 上で何もないところから追加のトライプール マーケットメイキング証明書を発行し、PIZZA での契約のトークンのほとんどを質入れして貸し出しました。その後、ハッカーは 130 万以上のアカウントを作成し、盗まれた資産を分散させました。この攻撃による PIZZA プロトコルの損失は約 500 万米ドルに相当します。

(4) ポリゴンの生態

アルゴリズムステーブルコインプロジェクトSafeDollarが攻撃を受ける

6月28日、Polygon上のアルゴリズムステーブルコインプロジェクトであるSafeDollarがハッキングされた疑いがあり、未確認の契約によってUSDCとUSDTの25万ドルが盗まれたようだ。

PolyYeld Finance契約が悪用される

イールド・ファーミング・プロトコル PolyYeld Finance が攻撃され、プロジェクト契約を利用して 4 兆 9,000 億 YELD トークンが鋳造され、流通市場に投げ込まれました。

(5) HECOエコロジー

HSOが30,000HTを振り切って逃げた

3月10日、HuobiエコロジーチェーンHECO上のオラクルプロジェクトHSOがIDO後に30,000HTを持ち逃げし、ウェブサイトとテレグラムを開くことができなくなりました。その後、HECO コアコード貢献チーム Star Lab、HECO 技術コミュニティ、HECO White Hat Security Alliance などの関係者の全面的な推進のもと、24,823 HT が回収されました。

XDX スワップが攻撃を受けている

7月2日、Hecoチェーン上のクロスチェーン分散型取引所DDEX上のXDXスワップ（DDEX）が攻撃され、攻撃者は85.17ETH（約17万6000米ドル）の利益を得て、その全額をイーサリアムにクロスチェーンした。 DDEX コードにはバックドアが存在する疑いがあります。 DDEX、Star Labs、HECO White Hat Security Alliance などの支援と協力により、XDX Swap はこの攻撃に関与した資金のほとんどを次々と回収しており、総額は 500 万米ドルを超えています。

(6) その他の生態

NEAR エコシステム Ref.Finance が契約ミスにより悪用されました

8 月 15 日、NEAR エコシステムの Ref.Finance チームは、8 月 14 日午後 2 時 (UTC) 頃、Ref チームが REF-NEAR 取引ペアの異常な動作に気づき、その後、最近のパッチにパッチが適用されていることを発見したとツイートしました。デプロイされたコントラクト 複数のユーザーによって悪用されたバグにより、約 100 万の REF と 580,000 の NEAR が影響を受けました。

Solana エコシステム Solend がハッキングされる

8月19日、ソラナ環境融資契約を結んでいるソレンドは、北京時間8月19日20時40分に契約がハッキングされ、UpdateReserveConfig関数の安全でないIDのチェックを突破され、すべてのアカウントを清算できるようになったとツイートした。さらに、ハッカーは借入資金の APY を 250% に設定しました。この期間中に、5人のユーザーの資金が不正流動化されました。ソレンド氏は、この攻撃によって資金が盗まれたことはなく、バグ報奨金の額を増やし、より良い監視および警告システムを構築すると述べた。

PolkadotのエコロジーIDOプラットフォームPolkatrainが裁定取引された

4月5日、PolkadotエコロジーIDOプラットフォームであるPolkatrainで事故が発生しましたが、SlowMistの分析によると、今回問題となっている契約はPolkatrainプロジェクトのPOLT_LBP契約であり、この契約にはスワップ機能とリベートの仕組みが備わっています。関数が PLOT トークンを購入すると、一定量のリベートが取得され、リベートはコントラクト内の _update 関数呼び出し transferFrom を通じてユーザーに転送されます。 _update 関数はプールのリベートの最大額を設定せず、リベートが行われるときにリベートの合計が使い果たされたかどうかを判断しないため、悪意のあるアービトラージャーは継続的にスワップ関数を呼び出してトークンを交換し、契約の価値を引き出すことができます。 . リベート報酬。

Avalanche オンチェーンレンディングプロトコル Vee.Finance がハッキングされる

9 月 20 日、Avalanche チェーン融資契約の Vee.Finance チームは複数の異常な送金に気づき、さらに監視した結果、合計 8,804.7 ETH と 213.93 BTC (総額 3,500 万米ドル以上) が盗まれました。ステーブルコイン部分はこの攻撃の影響を受けませんでした。

FantomチェーンのGrimFinanceがフラッシュローンの攻撃を受けた

12月19日、Fantomチェーンの複合収入プラットフォームであるGrimFinanceがフラッシュローン攻撃を受け、損失は3,000万米ドルを超えました。攻撃者は、GrimFinance のボールト ポリシーにある「beforeDeposit()」という名前の関数を使用して攻撃し、悪意のあるトークン コントラクトを入力します。

(7) クロスチェーンシステム

クロスチェーントランザクションプロトコルTHORChainが3回攻撃された

6月29日、THORChainは「偽リチャージ」攻撃を受け、約35万米ドルを失い、7月16日、THORChainは二度目の「偽リチャージ」攻撃を受け、800万米ドル近くを失い、7月23日、THORChainは攻撃を受けた。再び、800万ドル近くの損失。

クロスチェーンブリッジのチェーンスワップが盗まれ、複数のプラットフォームに影響を与える

7月11日、クロスチェーンブリッジプロジェクト「Chainswap」が再びハッキングされ、ブリッジ上にスマートコントラクトを展開するプロジェクトトークン20個以上がハッキングされ、被害総額は400万米ドルと推定され、影響範囲はほぼ拡大DeFi史上最大の安全事故。 Chainswap の調査によると、トークンのクロスチェーン クォータ コードのバグにより、オンチェーン取引所のブリッジ クォータは署名ノードによって自動的に増加します。これは、手動制御なしでより分散化することを目的としています。ただし、コードの論理的な欠陥により、ホワイトリストに登録されていない無効なアドレスを許可することで自動的に数が増加する脆弱性が発生しました。以前、7月2日にもChainswapはハッカーによって攻撃され、ChainSwapとやり取りするウォレットから一部のユーザートークンが活発に引き出され、推定総額80万ドルの損失が発生しました。

Poly Network の盗まれた 6 億 1,000 万ドルが返還される

8 月 10 日の Poly Network 攻撃は、6 億 1,000 万ドルを超える暗号資産が盗まれ、15 日以内に返還された史上最大のサイバーセキュリティ事件である可能性があります。ブロックチェーン業界全体とすべての関係者は、Poly Network とともにこの浮き沈みを経験してきました。現在、当該資産はすべてユーザーに返還され、システム機能も基本的には事件発生前のレベルに戻っています。

（8）NFT

NFT詐欺の蔓延

8月2日、「cryptopunksbot」と呼ばれる詐欺師がCryptoPunkのDiscordサーバーに投稿し、NFT投資家に10個のNFTアバターを獲得するチャンスを提供しました。 NFTプロジェクトの創設者であるStazie氏は、虚偽のオファーを含むポスターを受け入れたため、少なくとも100万ドル相当の16個のCryptoPunkを失いました。その後、詐欺師は 5 つの CryptoPunk を 149 ETH (385,000 ドル) で販売しました。

ゆっくりとした霧の景色

DeFiの誕生以来、DeFiには数え切れないほどのリスクが伴いました。多くの DeFi プロジェクトの価値は爆発的に倍増していますが、ハッキング事件も激化しています。 SlowMist の統計によると、DeFi には通常、(1) フラッシュ ローン攻撃、(2) 契約の抜け穴、(3) 互換性またはアーキテクチャの問題、(4) 秘密鍵の漏洩またはフロントエンド攻撃、(5) の攻撃方法があります。内部犯罪、逃げる。

他のタイプ

他のタイプ

脅迫

5月7日、米国最大の石油・ガスパイプライン運営会社であるコロニアル・パイプラインは標的型ランサムウェア攻撃により操業停止を余儀なくされ、その後操業を復旧させるために75ビットコイン、つまり400万ドル以上の身代金を支払った。普通。ランサムウェア攻撃は、国家レベルの重要なインフラストラクチャに関与しているため、世界的な衝撃と広範な懸念を引き起こしました。この事件を受けて、米国司法省当局者は、200万米ドル以上の身代金を回収することに成功したと述べた。しかし、米政府関係者らは「秘密鍵の入手方法と身代金の回収方法」の詳細なプロセスについては明らかにせず、今回の措置は米国が恐喝攻撃に対してあらゆる努力を惜しまないことを示しているとだけ述べた。

詐欺

8月20日、ロシア最大の仮想通貨詐欺の創設者が、投資家から15億ドル以上をだまし取った疑いで投獄された。 Finiko は 2019 年にカザン市で設立され、合法的な BTC 投資会社を装っていました。 2020 年 12 月、Finiko はネイティブ暗号通貨 FNK をリリースしました。地元の報道によると、創設者らは投資家からBTCを受け取り、FNKトークンで報酬を与えるという。

釣り

10月15日、ソフォスは、暗号通貨詐欺アプリCryptoRomが「スーパーシグネチャーサービス」とApple Developer Enterprise Programを悪用して140万ドルを盗んだとする報告書を発表した。この詐欺に関連したビットコイン アドレスには、これまでに 139 万ドル以上が送金されており、さらに多くのアドレスが詐欺に関連している可能性があります。報告書によると、被害者のほとんどはiPhoneユーザーだったという。レポートによると、CryptoRom は App Store のすべてのセキュリティ チェックを回避し、日常的にアクティブな状態を維持します。同報告書はまた、Appleは「アドホック配布やエンタープライズプロビジョニングシステムを通じて、Appleの審査を受けていないアプリをインストールすることについてユーザーに警告すべきだ」とも述べている。

ゆっくりとした霧の景色

要約する

要約する

BTC に代表される多くの仮想通貨の市場価値が更新され、ブロックチェーン業界全体の発展傾向はますます良くなってきていますが、仮想通貨犯罪もまた横行しています。統計的な観点から見ると、セキュリティインシデントが多く損失額が大きい月は主に4月、6月、8月であり、さまざまな生態学の観点から見ると、イーサリアムの損失額が最も多く、13億ドルを超え、次にBSCエコロジーが続く。 ; 攻撃分野の観点から見ると、取引所と DeFi がより攻撃されています。

プロジェクト当事者に対しては、内部管理と技術メカニズムを改善し、社内のセキュリティ担当者がセキュリティ関連の内容のギャップをタイムリーに確認して埋めることを推奨します。最も重要かつ効果的な方法は、プロジェクトをオンラインにする前に、プロジェクトに対して包括的かつ詳細なセキュリティ監査を実施し、セキュリティ上の問題が発生する可能性を最小限に抑えることです。

ユーザーにとっては、ブロックチェーンを正しく合理的に扱い、正しい通貨概念と投資概念を確立し、リスク予防意識を効果的に向上させる必要があります。たとえば、投資する前に、スマート コントラクトがオープンソースであるかどうか、プラットフォーム自体にセキュリティ監査があるかどうかに注意を払う必要があります。最も重要なことは、秘密キーのニーモニックを保持し、誰にも公開しないことです。

最後に、ブロックチェーンの新年がより大きなエネルギーで爆発し、より多くの着陸アプリケーションが登場し、より大きな価値が創造されることを楽しみにしています。