Beosin: 2024 年第 1 四半期 Web3 ブロックチェーンのセキュリティ状況とマネーロンダリング対策分析レビュー
原作者: Beosin 研究チーム Mario、Tian Daxia Donny
出典: Beosin
1. 2024 年第 1 四半期の Web3 ブロックチェーンのセキュリティ状況の概要
Beosin Alertの監視と早期警告によると、2024 年の第 1 四半期には、ハッカー攻撃、フィッシング詐欺、プロジェクト関係者のラグ プルによる Web3 分野の損失総額は 7 億 7,800 万米ドルに達しました。このうち、重大な攻撃事件は 39 件で、損失総額は約 6 億 1,700 万ドル、プロジェクト関係者が関与したラグ プル事件は 43 件で、損失総額は約 7,550 万ドル、フィッシング詐欺事件では損失総額が約 86.24 ドルでした。百万。
2024 年第 1 四半期の損失総額は約 7 億 7,800 万米ドルで、前年同期比では約 126%、前月比では約 72% 増加しました。中でも、ハッカー攻撃による損失額は、2023 年のどの四半期よりも高くなっています。
２月の損失総額は４億２２００万ドルに達し、２０２４年第１四半期の損失月としては最大となった。
攻撃されているプロジェクトの種類から判断すると、ゲーム プラットフォームが初めて、損失が最も大きいプロジェクト タイプになりました。 Web3 ゲーム プラットフォームに対する 6 件の攻撃により、合計 3 億 6,500 万ドルの損失が発生し、攻撃による損失全体の 59% を占めました。
各チェーンの損失額から判断すると、イーサリアムは依然として損失額が最も多く、攻撃が最も多いチェーンです。イーサリアムに対する18件の攻撃により、損失総額の55.4％に相当する3億4,200万米ドルの損失が発生した。
攻撃手法の観点から見ると、この四半期には合計 13 件の秘密鍵漏洩が発生し、4 億 5,800 万米ドルの損失が発生し、攻撃損失全体の 74.3% を占め、攻撃タイプの中で最も高い割合を占めています。
資本の流れの観点から見ると、盗難された資産の大部分は凍結され、当四半期中に回収されました。盗まれた資金のうち約 3 億 300 万ドル (49.2%) が凍結され、盗まれた資金のうち 7,945 万ドル (12.9%) が回収されました。
監査状況から判断すると、攻撃されたプロジェクトのうち、監査を受けたプロジェクト関係者の割合が増加しています。
2. 2024 年第 1 四半期の攻撃の概要
39件の大規模攻撃で総額6億1,670万ドルの損失
2024 年の第 1 四半期に、Beosin Alert は Web3 分野で合計 39 件の重大な攻撃を検出し、総額 6 億 1,670 万ドルの損失が発生しました。このうち、損失が1億米ドルを超えるセキュリティインシデントが2件、損失が1,000万～1億ドルのインシデントが5件、損失が100万～1,000万ドルのインシデントが21件ありました。
被害額が 1,000 万ドルを超える攻撃 (金額順):
PlayDapp - 2 億 9,000 万ドル
攻撃手法：秘密鍵漏洩チェーンプラットフォーム：イーサリアム
2 月 9 日、ブロックチェーン ゲーム プラットフォーム PlayDapp が攻撃され、ハッカーのアドレスにより 3,650 万ドル相当の 2 億 PL トークンが鋳造されました。 PlayDappとハッカーの間の交渉は失敗に終わり、ハッカーは2月12日にさらに2億5,390万ドル相当の15億9,000万PLAトークンを鋳造し、資金の一部をGate.io取引所に送金した。その後、プロジェクトチームは PLA 契約を一時停止し、PLA トークンを PDA トークンに移行しました。
クリス・ラーセン (リップル共同創設者) - 1億1,200万ドル
攻撃手法：秘密鍵漏洩 チェーンプラットフォーム：XRP
1月31日、リップルの共同創設者クリス・ラーセン氏は、財布のうち4つがハッキングされ、総額約1億1,200万ドルが盗まれたと発表した。 Binanceチームは、攻撃者によって盗まれた420万ドル相当のXRPの凍結に成功しました。
マンチャブル - 6,230万ドル
攻撃手法：ソーシャルエンジニアリングチェーンプラットフォーム：Blast
3 月 26 日、Blast ベースの Web3 ゲーム プラットフォームである Munchables が攻撃を受け、約 6,250 万米ドルの損失が発生しました。プロジェクトチームが北朝鮮のハッカーを開発者として雇用したために攻撃を受けた疑いがある。盗まれた資金はすべて、後にハッカーによって返還されました。
固定浮動小数点 - 2,610 万ドル
攻撃手法：セキュリティ構造の脆弱性チェーン プラットフォーム：イーサリアム
2月17日、暗号通貨取引所FixedFloatが攻撃を受け、約2,610万米ドルを失い、ハッカーは盗んだ資金のほとんどをeXch取引所に送金していた。 2月20日、FixedFloatは、この攻撃は「当社従業員の仕業ではなく、当社のセキュリティ構造の脆弱性によって引き起こされた外部攻撃」であると述べた。
キュリオ エコシステム – 1,600 万ドル
攻撃手法：契約の脆弱性 - アクセス制御の脆弱性チェーン プラットフォーム：イーサリアム
3 月 23 日、RWA インフラストラクチャ Curio Ecosystem が攻撃され、約 1,600 万米ドルの損失が発生しました。
サムシング - 1,158 万ドル
攻撃手法：秘密鍵漏洩チェーンプラットフォーム：Klaytn
1月27日、韓国のWeb3ソーシャル音楽サービスが攻撃を受け、1158万ドル相当の7億3000万ネイティブトークンSSXが失われた。
Jihoz.ron (Ronin の共同創設者) - 1,000 万ドル
攻撃手法：秘密鍵漏洩チェーンプラットフォーム：Ronin
2 月 23 日、Ronin の共同創設者である jihoz.ron の 2 つのアドレスが秘密鍵の漏洩により約 1,000 万米ドルを失いました。
3. 攻撃されたプロジェクトの種類
ゲームプラットフォームが初めて、損失額が最も多いプロジェクトタイプとなった
今四半期に最も損失が大きかったプロジェクトの種類はゲーム プラットフォームで、Web3 ゲーム プラットフォームに対する 6 件の攻撃により、合計 3 億 6,500 万ドルの損失が発生し、攻撃による損失全体の 59% を占めました。ゲーム プラットフォームは初めて、攻撃を受けて損失が最も大きいプロジェクトの種類になりました。
2 番目に多い被害者のタイプは個人のウォレットです。 2 件の個人財布盗難により、1 億 2,250 万ドルの損失が発生しました。個人財布の盗難事件はどちらも、有名なプロジェクト当事者（リップル・リアンチュアンとローニン・リアンチュアン）の共同創設者から盗まれたものです。
ハッカー攻撃39件のうち、DeFi分野で発生した事件は計17件で約43.6％を占めた。これら 17 件の DeFi 攻撃により、合計 3,996 万米ドルの損失が発生し、全プロジェクト タイプの中で 3 位にランクされました。
攻撃された他の種類のプロジェクトには、DEX、インフラストラクチャ、決済プラットフォーム、Web3 音楽プラットフォームなどが含まれます。
4. 各チェーンの損失額
イーサリアムは損失額が最も多く、攻撃も最も多いチェーンです。
2023年と同様に、イーサリアムは依然として損失額が最も多いパブリックチェーンです。イーサリアムに対する18件の攻撃により、損失総額の55.4％に相当する3億4,200万米ドルの損失が発生した。
損失額が2番目に大きかったパブリックチェーンはXRPで、リップル共同創設者のクリス・ラーセン氏の財布から盗まれたものだった。
損失額が3番目に大きいパブリックチェーンはBlastです。 Blast チェーンに対する 3 回の攻撃により、合計 6,750 万ドルの損失が発生しました。ブラストチェーンは、損失額の点で新興大手パブリックチェーンの中で第1位にランクされています。
今四半期、BNB チェーンで発生した重大なセキュリティ インシデントは 4 件のみで、損失額は約 801 万米ドルで、損失額とインシデントのランク付け件数はいずれも 2023 年と比較して大幅に減少しました。
5. 攻撃手法の分析
損失の 74.3% は秘密鍵の漏洩によるもの
この四半期には合計 13 件の秘密鍵漏洩が発生し、攻撃損失総額の 74.3% に相当する 4 億 5,800 万米ドルの損失が発生しました。 2023 年と同様、秘密キーの漏洩による損失は依然としてすべての攻撃タイプの中で第 1 位にランクされています。多額の損失を引き起こした秘密鍵の漏洩には、PlayDapp (2 億 9,000 万米ドル)、リップルの共同創設者 Chris Larsen (1 億 1,200 万米ドル)、Somesing (1,158 万米ドル)、Ronin の共同創設者 Jihoz.ron (1,000 万米ドル) が含まれます。
39 件の攻撃のうち、21 件は契約上の脆弱性悪用によるもので、損失総額は 6,556 万米ドルに達し、第 2 位となっています。
3 番目に損失額が多かった攻撃手法はソーシャル エンジニアリング攻撃で、3 件のソーシャル エンジニアリング攻撃により約 6,500 万ドルの損失が発生しました。
脆弱性別にみると、損失の原因となる上位 3 つの脆弱性は、アルゴリズムの欠陥 (2,278 万米ドル)、アクセス制御の脆弱性 (1,632 万米ドル)、ビジネス ロジックの脆弱性 (1,128 万米ドル) です。最も発生頻度が高い脆弱性はビジネス ロジックの脆弱性であり、契約脆弱性攻撃 21 件のうち 7 件がビジネス ロジックの脆弱性です。
6. 典型的なマネーロンダリング対策事件の分析とレビュー
アトム・アセット（AAX）がマネーロンダリング対策（AML）分析を回避
最近、廃止された香港の取引所であるアトム・アセット（AAX）は、マネーロンダリング対策（AML）の規制を回避するために、ウォレットからさまざまな分散型取引所や集中型プラットフォームに資金を移動し始めたとされています。発見される前に、AAX 取引所ウォレットに関連する最後の既知のトランザクションは 2023 年 10 月と 2022 年 11 月に発生しました。崩壊前、AAX は 200 万人以上のユーザーを抱える香港最大の仮想通貨取引所の 1 つでした。
Beosinチームの分析によると、2024年1月29日以降、AAX取引所は取引所ウォレットから25,100ETHの送金を開始し、送金資金は500ETHと600ETHの3つの取引に分割されていたことが判明した。トランザクションごとに 24,000 ETH。現在の価格に基づくと、この移籍は7,400万ドル以上に相当します。
AAX交換事件の一部始終
仮想通貨取引所FTXが破産を申請してからわずか2日後の2022年11月13日、AAXも取引相手のリスクにさらされたため出金を停止し、すべてのソーシャルチャネルを排除した。 AAXは当初、凍結の原因は悪意のある攻撃の疑いに対するセキュリティ対策にあると考えていた。
2022年11月15日、AAX取引所はプラットフォームのメンテナンスが必要であり、出金の停止に加えてデリバティブも自動的に清算されるとの声明を発表した。それ以来、AAX はプラットフォームの運営とソーシャルメディアの更新を停止しました。
奇妙なのは、426 日間の沈黙の後、AAX 取引所ウォレットがアクティブになり始め、AML ツールの特定と監視を回避しようとして、大量の資金が他のアドレスに送金され始めたことです。
link: https://etherscan.io/address/0x56c1319b31a5316a327bd889d58c8633b204536c
AAX取引所イベントチェーン上の資金の分析
Beosin KYT アンチマネーロンダリング分析プラットフォームは、AAX 取引所ウォレットでの最近のオンチェーン活動の詳細な調査を実施し、一連の危険な活動を発見しました。まず、25,100 ETH がすべて転送され、運営者はさまざまな手段を講じて ETH の一部を USDT に変換し、クロスチェーン ブリッジを通じて資金を別のブロックチェーンに転送して資金をクリーンアップしました。
Beosin KYT アンチマネーロンダリング プラットフォーム
資金のほとんどはトロンブロックチェーンに転送され、いくつかのアドレスを介して転送され、その後転送されることなくいくつかのアドレスで決済されました。この行為は、AMLを回避し、資金の本当の発信元と宛先を隠蔽しようとする明らかな試みを示しています。
Beosin KYT アンチマネーロンダリング プラットフォーム
香港警察はこの詐欺に対して迅速に行動し、AAX 関係者 2 名を逮捕し、現在、送金経路の解明と影響を受けたユーザーの資産の回収に取り組んでいます。
AAX Exchangeは、分散型取引所、仮想通貨取引所、クロスチェーンブリッジなどの技術的手段を使用して、資本の流れの経路と源を曖昧にしようとしています。これにより、規制当局と AML 分析プラットフォームにとって重大な課題が生じます。
7. 盗難資産の資金の流れの分析
盗まれた資産のほとんどは凍結され、回収された
Beosin KYTマネーロンダリング対策プラットフォームの分析によると、2024年第1四半期に盗まれた資金のうち、約3億300万米ドル（49.2％）が凍結され、盗まれた資金のうち7,945万米ドル（12.9％）が凍結された。資金は回収されました。この比率は 2023 年よりも大幅に高くなります。
盗まれた資金のうち約1億550万米ドルがさまざまな取引所に送金され、約17.1％を占めた。 2023年と比較して、今年は盗んだ資金を取引所に送金するハッカーの割合が大幅に増加しました。これにより、取引所のマネーロンダリング防止とコンプライアンスに対するより高い要件が求められます。
合計 3,012 万ドル (4.9%) がミキサーに送金され、2,990 万ドルが Tornado Cash に送金され、216,000 ドルが他のミキサーに送金されました。昨年と比較して、2024 年の第 1 四半期に通貨混合を通じて洗浄された盗難資金の数は大幅に減少しました。
8. プロジェクト監査状況の分析
監査対象のプロジェクト関係者の割合が増加
39 件の攻撃インシデントのうち、12 件のインシデントはプロジェクト当事者が監査されず、24 件のインシデントはプロジェクト当事者が監査されました。監査を受けたプロジェクト関係者の割合は 2023 年よりわずかに高く、Web3 業界全体のプロジェクト関係者がセキュリティをより重視していることがわかります。
監査を受けなかった 12 プロジェクトのうち、契約上の脆弱性インシデントが 8 件 (66.7%) を占めました。これに対し、契約上の脆弱性インシデントは、監査対象プロジェクト 24 件のうち 13 件 (54.2%) を占めました。これは、監査によってプロジェクトのセキュリティをある程度向上できることを示しています。
9. ラグの引っ張り分析
ラグ引き抜き事件43件の被害額は7,550万ドル
2024 年の第 1 四半期には、プロジェクト関係者による合計 43 件のラグ プル インシデントが検出され、総額 7,550 万米ドルが関与しました。
損失額が最も大きいラグ プル イベントのトップ 5 は、Bitforex (5,650 万ドル)、Hector Network (270 万ドル)、MangoFarm (200 万ドル)、OrdiZK (140 万ドル)、RiskOnBlast (130 万ドル) です。これら 5 つの Rug Pull イベントは、Ethereum、Fantom、Solana、Blast の 4 つのチェーンに分散されます。
イーサリアムチェーン上のラグプルに関与した総額は5,968万米ドルに達し、損失総額の79％を占めた。ラグ プル イベントが最も多く発生したのは BNB チェーン チェーンで、合計 29 回で、イベント総数の 67.4% を占めました。
10. 2024 年第 1 四半期の Web3 ブロックチェーンのセキュリティ状況の概要
前四半期と比較して、2024 年第 1 四半期にハッカー攻撃、フィッシング詐欺、プロジェクト関係者によるラグ プルによって引き起こされた損失総額は大幅に増加し、7 億 7,800 万米ドルに達しました。今四半期の通貨価格の上昇は総額の増加に一定の影響を与えていますが、全体的には Web3 セキュリティ分野の状況は依然として楽観的ではありません。
この四半期で最も有害なタイプの攻撃は秘密キーの漏洩でした。損失の約 74.3% は秘密鍵の漏洩によるもので、この傾向は 2023 年のデータと一致しています。プロジェクトの種類の観点から見ると、秘密キーの漏洩は、ゲーム プラットフォーム、DeFi、個人ウォレット、インフラストラクチャ、NFT、決済プラットフォーム、ギャンブル プラットフォーム、データ ストレージ プラットフォームなど、Web3 のさまざまな分野で発生します。すべての Web3 プロジェクト関係者/個人ユーザーは、より警戒し、秘密キーをオフラインで保存し、マルチ署名を使用し、サードパーティのサービスを慎重に使用し、特権を持つ従業員に対して定期的にセキュリティ トレーニングを実施する必要があります。
ほとんどの資産は凍結され、今四半期に回収されました。これは世界的な規制制度の改善とマネーロンダリング対策の強化を示すものです。今四半期には、ハッカーが盗んだ資金を取引所に送金する割合も大幅に増加しており、このため取引所はハッキング行為を迅速に特定し、法執行機関やプロジェクト関係者と積極的に協力して資金を凍結し検証を行う必要がある。現在、取引所と法執行機関、プロジェクト関係者、セキュリティチームの協力は大きな成果を上げており、今後さらに多くの盗難資金が回収されるものと考えられます。
この四半期の 39 件の攻撃のうち、契約による脆弱性悪用によるケースはまだ 21 件あります。プロジェクト チームは、オンライン化する前に専門のセキュリティ会社に監査を依頼することをお勧めします。Beosin は、世界をリードするブロックチェーン セキュリティ企業として、Web3 エコシステムの安全な開発に取り組んでおり、3,000 以上のスマート コントラクトとパブリック チェーン メインネットを監査しており、信頼できるブロックチェーン セキュリティ企業として、プロジェクト関係者に優れたサービスを提供できます。セキュリティ監査サービス。
