分散型取引所Arcus DEXは11月9日、会計上の脆弱性により攻撃者が新規作成アカウントの記録残高を水増しし、実際には保有していない資金を引き出せるようになったことで、223万ドルの損失を被りました。同取引所はトレジャリーから不足分を全額補填したと説明し、他のユーザーの残高、ポジション、注文には影響がないとしています。

X投稿で本件を公表したCoin Bureauによると、この脆弱性により攻撃者はアカウントの実際の資産を大幅に上回る残高を持っているように見せかけることができました。プラットフォームの会計システムにおけるこの不整合により、攻撃者はアカウントが所有していない資金を引き出し、223万ドルの損失が発生しました。

ブリッジのレート制限がさらなる300万ドルの引き出し試みを阻止

本件はより大きな損失に発展する可能性がありました。攻撃者はさらに300万ドルの引き出しを試みましたが、ブリッジのオンチェーンレート制限によりこれらの支払いは処理されず、資金がブリッジを通じて流出する前に阻止されました。ブリッジのレート制限は、一定期間に移動できる価値の上限を設ける仕組みで、エクスプロイト発生時の資金流出を抑えるためのセーフガードです。すでに奪われた資金と合わせ、攻撃者は合計約523万ドルを狙いましたが、レート制限によりその半分以上が阻止されました。

ソース記事は、アカウント残高の操作に使用された具体的な手法や会計エラーの技術的原因について、追加の詳細を提供していません。

Arcusは90分以内に脆弱性を修正

Arcusはエクスプロイト発生から約90分以内に脆弱性を検知し、対処しました。対応の一環として、同プラットフォームは攻撃者に関連するアドレスをブロックし、出金を一時停止しました。

これらの措置は不正引き出しの発見後に取られたもので、Arcusが会計上の欠陥に対処し攻撃者の活動を制限する間、被害の封じ込めを目的としたものでした。

トレジャリーが223万ドルの不足分を全額補填

Arcusはその後、トレジャリーの資金を使用して223万ドルの不足分を全額補填したと述べ、本件が他のユーザーの残高、ポジション、注文に影響を与えていないことを改めて強調しました。同プラットフォームの声明は、エクスプロイトが攻撃者に奪われた資金にとどまり、他のユーザーの記録された口座残高や取引ポジションには及んでいないことを示しています。

回収の取り組みは継続中です。奪われた資金はオンチェーンで追跡されており、Arcusはブロックチェーン調査機関および法執行機関と連携して資金の回収を進めています。回収プロセスや攻撃者の身元に関する追加の詳細は明らかにされていません。

出典: Hokanews