正体不明の金庫が6万ドルのマルチシグ脆弱性攻撃を受け、31.7万ドルがリスクに直面

セキュリティ研究者によると、ある匿名の金庫コントラクトにて、基準となる攻撃者がホワイトリストおよびマルチシグ署名の制御メカニズムの脆弱性を利用し、このブロックチェーンに約600万ドルの損害をもたらしました。この事件は10月4日に発見され、当時ブロックチェーンセキュリティ企業Blockaidが異常な出金を検出しました。約40分間で、推定損失額は20,200ドルから約600万ドルへ急増しました。

GoPlus、PeckShield、CertiK、Exvulのデータによると、攻撃者は金庫から1,783.067 aBaswstETHを借り出し、これらのトークンをAaveのレシートと交換し、約1,783のwstETHを入手しました。aBaswstETHは、Aave Baseマーケットに提供されたラップドステーキングイーサリアムを表します。

今回の攻撃はAaveのコアレンディングコントラクトおよびBaseネットワークの脆弱性によるものではありません。調査により、今回の盗難は金庫のマルチシグガバナンスおよびアクセスコントロールの欠陥に起因していることが判明しています。新たに作成されたコントラクトがSafeマルチシグ取引を通じて金庫の借入ホワイトリストに追加されました。ホワイトリストに追加されると、そのコントラクトは金庫のAaveポジションを借り、基礎資産を引き出すことができました。

この金庫の運用オーナーは、Safe Proxy Factory 1.4.1を使用して作成された3つのSafeアカウントです。7つの署名アドレスがこのアカウントを制御していますが、彼らの身元は公表されていません。調査員はオンチェーン取引を追跡できるものの、ブロックチェーン上の記録だけではホワイトリスト更新が認証情報の漏洩、ソーシャルエンジニアリング攻撃、内部脅威、その他ガバナンスの失敗のどれによるものかは特定できません。

注目すべきは、攻撃発生前の25日間、この金庫で取引は一切行われていなかったにもかかわらず、攻撃時に突然2件の取引が実施された点です。この突然のアクティビティは、署名者の身元が乗っ取られたか、内部関係者が変更を承認した可能性を示唆しています。現時点では、どちらの説明が正しいのかについてセキュリティ企業から公式な証言は出ていません。

未申告の所有権と残存リスクエクスポージャー

既知の所有者が不明なため、対応措置は複雑化しています。プロジェクトチームのいずれもこの金庫の存在を公に認めておらず、是正策やホワイトリストへの無断追加がどのように承認されたかについての説明もありません。この金庫は独立したアップグレード権限を持つOpenZeppelinトランスペアレントプロキシで構築されており、資産所有者と最終的な管理者の間に追加のコントラクト層が存在しています。

報道によれば、出金後の金庫には約31.7万ドルの資産が残っているとのことです。匿名のオンチェーンユーザーが攻撃者に対し残り資金の引き出しとチップの要求を促すメッセージを送りましたが、現時点で公に確認された返信はありません。

現在のところ、AaveのBaseデプロイメントや基礎となるブロックチェーンには影響がなく、直接的なシステムリスクは限定的と考えられます。しかし、本件は特権管理機能に起因するリスクが管理対象のスマートコントラクト自体よりも大きい可能性を示しています。署名者の身元、取引監査手順、内部統制が不十分な場合、単なるマルチシグ署名承認では十分なセキュリティを確保できません。

また、本件はwstETHの流動性に対する関心も呼んでいます。約1,783のwstETHの売却は短期的な市場圧力を引き起こす可能性がありますが、現時点でこのレシートトークンの全体的なペッグにリスクは示されていません。Safeの署名者、金庫の管理組織、または攻撃者が今後身元を明かせば、さらなる詳細が明らかになる可能性があります。