リップルの名誉CTOであるデビッド・シュワルツは、Kelp DAOのrsETHブリッジが約$292 百万ドル規模で悪用された後、ブリッジのセキュリティ脆弱性にあるパターンを特定した。RLUSDの利用を想定したDeFiブリッジング・システムの評価の中で、シュワルツはブリッジ提供者が一貫して、最も堅牢なセキュリティ・メカニズムを利便性のために優先度を下げていたことを観察した。彼は、そのパターンがKelp DAOの件に寄与した可能性があると考えている。
セキュリティ機能の売り込み文句
Xで共有した分析の中で、シュワルツはブリッジ提供者が先進的なセキュリティ機能を目立つように売り込んだ後、すぐにそれらの機能が任意であるかのように提案したと説明した。「彼らは一般的に、利便性と運用・管理の複雑さに伴うコストがあるため、最も重要なセキュリティ・メカニズムを使わないことを推奨しているように見える」と彼は書いている。
シュワルツは、RLUSDの評価に関する議論の中で、提供者が複数のチェーンを「簡単に追加できる」ことを強調し、「私たちは彼らが持つ最良のセキュリティ機能を使うつもりはない」という暗黙の前提が置かれていたと述べた。矛盾をこう要約した。「彼らの売り込み文句は、最高のセキュリティ機能があるが、使いやすくてスケールしやすいので、セキュリティ機能を使わないなら話が早い、というものだった。」
Kelp DAOで何が起きたか
4月19日、Kelp DAOはrsETHに関する不審なクロスチェーン活動を特定し、メインネットおよび複数のレイヤー2ネットワークにまたがる契約を一時停止した。約116,500 rsETHが、LayerZero関連のコントラクト呼び出しを通じて流出し、現行価格で約$292 百万ドルに相当する。
D2 Financeによるオンチェーン分析では、根本原因はソースチェーンでのプライベートキー漏えいだと追跡された。これにより、攻撃者がブリッジを操作するために悪用したOAppノードとの間に信頼上の問題が生じた。
LayerZeroのセキュリティ設定
LayerZero自体は分散型の検証ネットワークなど、堅牢なセキュリティ機能を提供している。シュワルツは、問題の一部はKelp DAOが「利便性のために」重要なLayerZeroのセキュリティ機能を使わないことを選んだことに起因している可能性があると推測した。
捜査当局は、Kelp DAOがLayerZeroの実装を、プロトコルで利用可能なより複雑だが大幅により安全な選択肢ではなく、LayerZero Labsを唯一の検証者とする単一障害点の最小限のセキュリティ設定で構成したのかどうかを調べている。
免責事項：このページの情報は第三者から提供される場合があり、Gateの見解または意見を代表するものではありません。このページに表示される内容は参考情報のみであり、いかなる金融、投資、または法律上の助言を構成するものではありません。Gateは情報の正確性または完全性を保証せず、当該情報の利用に起因するいかなる損失についても責任を負いません。仮想資産への投資は高いリスクを伴い、大きな価格変動の影響を受けます。投資元本の全額を失う可能性があります。関連するリスクを十分に理解したうえで、ご自身の財務状況およびリスク許容度に基づき慎重に判断してください。詳細は
免責事項をご参照ください。
関連記事
ZachXBT、Bitcoin DepotのATMの44%超のビットコイン上乗せに警鐘
ZachXBTは、Bitcoin DepotのATMが高額なプレミアムを課していると警告しています――$25k フィアットが1BTCあたり$108kである一方、$75k 市場は約(44%ほど)で、0.232 BTCに対して約$7.5kの損失につながったとしています。さらに、$3.26Mのセキュリティ侵害も指摘しています。
この記事は、Bitcoin Depotの価格設定の慣行と最近のセキュリティ侵害に関するZachXBTの警告を要約し、インフレートされたレートやセキュリティ上の不備がユーザーにもたらすリスクを強調しています。
GateNews19分前
プライバシー・プロトコルUmbraがフロントエンドを停止し、攻撃者による盗難Kelp資金のマネーロンダリングを阻止
Gate Newsのメッセージ、4月22日 — プライバシー・プロトコルのUmbraは、最近の攻撃を受けて、攻撃者がプロトコルを使って盗まれた資金を移すのを防ぐために、フロントエンドのWebサイトを停止しました。これには、損失が$280 百万ドルを超える結果となったKelpプロトコルの侵害が含まれます。盗まれた資金のうち約$800,000がUmbraを通じて移されたものの、プロトコルが保護するのは受取人の身元であり、送信者ではありません。移されたすべての資金は識別可能なままです。
GateNews2時間前
SlowMist 23pds 警告：Lazarus Group が暗号通貨向けの新型 macOS ツールキットを公開
SlowMist最高情報セキュリティ責任者23pdsは4月22日に警告を発表し、北朝鮮のハッカー組織Lazarus Groupが、暗号通貨業界および高額な価値を持つ企業の経営幹部を対象とした、新しいネイティブmacOSのマルウェアツールキット「Mach-O Man」を公開したと述べた。
MarketWhisper3時間前
Venus Protocol 攻撃者が 2301 枚の ETH を送金し、Tornado Cash に流入して洗浄
チェーン上のアナリスト Ai おばさんによる4月22日の監視によると、Venus Protocol の攻撃者は11時間前にアドレス 0xa21…23A7f へ 2,301 ETH（約 532 万ドル）を送金し、その後資金を分割して暗号ミキサーの Tornado Cash に投入して洗浄を行いました。監視時点で、攻撃者はオンチェーン上に約 1,745 万ドル相当の ETH を保有しています。
MarketWhisper5時間前
CometBFT のゼロデイ脆弱性が明らかに：800億ドルの Cosmos ネットワークノードがデッドロックのリスクに直面
セキュリティ研究者のDoyeon Parkは、4月21日にCosmosのコンセンサス層であるCometBFTに、CVSS 7.1の重大なゼロデイ脆弱性が存在することを公開しました。これにより、ノードがブロック同期（BlockSync）段階で悪意のある対等（ピア）ノードから攻撃を受け、デッドロックに陥る可能性があり、80億ドル超の資産を保護するネットワークに影響します。
MarketWhisper5時間前
