ハッカーは、分散型永続取引所AFXとVerus Protocolが運営するブリッジを標的に、わずか数時間の間に発生した2件の無関係な暗号ブリッジ攻撃で3,160万ドル超を窃取した。

Blockaidによると、Arbitrum上で稼働する分散型永続取引所AFXは水曜日にクロスチェーンブリッジの1つが標的となり、約2,415万ドルの損失が報告された。数時間後、BlockaidはVerus Ethereum Bridgeに対する別の攻撃を検出し、約750万ドル相当の暗号資産が窃取された。

相次ぐ事件は、異なるブロックチェーン間で資産を移動させ、多額の準備資産を保持するクロスチェーンブリッジが継続的に直面しているセキュリティリスクを浮き彫りにした。クロスチェーンブリッジは暗号分野で最も頻繁に標的とされるコンポーネントの一つであり、2022年に遡る主要なブリッジ攻撃—Ronin NetworkやWormholeの事件を含む—は総額10億ドルを超える損失を引き起こし、セキュリティ研究者から鍵管理と検証プラクティスの強化が繰り返し求められている。

「また別のブリッジ、また別の攻撃。セキュリティが強化されるまで、ブリッジは常に弱点であり続けるだろう」と、オンチェーン調査員TheCrypticWolfはXへの投稿で述べた： https://x.com/TheCrypticWolf1/status/2080145550100337039?s=20

AFXプロトコルブリッジが標的に

Blockaidは水曜日のUTC午後9時30分にAFXが運営するブリッジに対する攻撃を検出したと発表した。Offchain Labsの共同創設者Stephen Goldfederは、ブリッジへの攻撃がサードパーティのプロトコルに影響を与えたことを確認し、Arbitrumのネイティブブリッジは侵害されていないと述べた。

「Arbitrumでのブリッジ攻撃の報告を把握しており、調査を行っている。該当の取引はサードパーティのプロトコルから発生したものであり、Arbitrumのネイティブブリッジはいかなる形でもハッキングや攻撃を受けていないことを確認できる」とGoldfederはXへの投稿で述べた： https://x.com/sgoldfed/status/2080071210847674709?s=20

Web3セキュリティコミュニティDeFiHackLabsの創設者でありSEALの貢献者でもあるSunSecは、入手可能な証拠はスマートコントラクトの論理的欠陥ではなく、侵害されたキーがこの攻撃の原因であることを示唆していると述べた： https://x.com/1nf0s3cpt/status/2080082521778467217?s=20

Blockaidの共同創設者兼CEOであるIdo Ben-Natanは、同社の評価が5つのホットバリデーターキーが侵害されたという報告と一致しているとCointelegraphに語った。

「これはスマートコントラクトの脆弱性ではなく、運用上のセキュリティインシデントであったと思われる」とBen-Natanは述べた。「不正な引き出しには正規のバリデーター署名が含まれており、ブリッジのオンチェーン検証はバイパスされたのではなく、設計通りに機能していたことを意味する。」

Ben-Natanはさらに、必要なバリデータークォーラムが正規の署名によって満たされており、侵害はブリッジコントラクト自体ではなく、ブリッジのオフチェーン署名インフラで発生した可能性が高いと付け加えた。バリデーターや署名インフラに関わるキーの侵害は、ブリッジ攻撃において繰り返し発生する障害モードであり、スマートコントラクトの論理的バグとは異なり、攻撃者がオンチェーンコードでは拒否できない有効な署名を生成することを可能にする。

CointelegraphはAFXにコメントを求めた。

Verus Ethereum Bridgeが別の攻撃を受ける

別の事件において、BlockaidはVerus Ethereum Bridgeを標的とした攻撃を検出した。この攻撃により、Ether、tBTC、USDC、USDt、EURC、MKR、scrvUSDの形でブリッジの準備資産から750万ドルが引き出された。tBTCはBitcoin裏付けのERC-20トークンである。

Blockaidは、この攻撃が5月に1,158万ドルが引き出された以前のVerus Ethereum Bridgeの事件と類似していると述べた。Blockaidによると、同じ攻撃手法が使用されたが、攻撃者のウォレットは異なっていた。同じブリッジに対して同じ攻撃経路が数ヶ月の間隔で再発したことは、インポートまたは検証フローが悪用可能であると判明した場合、ブリッジの脆弱性を完全に修復することの難しさを浮き彫りにしている。

「攻撃者はブリッジのインポートパスを使用して、裏付けのないEthereum側の支払いを引き起こした」とBlockaidは述べた。