WEMIXのコントラクトオーナー権限が侵害され、$6.25 million相当のトークンが不正に発行・送金されたと報告されています。この事案により、ブロックチェーンゲーム基盤やその他のスマートコントラクトシステムにおける管理者キーのセキュリティに対する監視が改めて強まっています。

WEMIXトークン発行事案の報告内容

報告された侵害は、コントラクトオーナー権限の侵害に関するものです。スマートコントラクトにおけるオーナー権限とは、指定されたアドレスに割り当てられる高度な権限であり、新規トークンの発行、送金の一時停止、コントラクトロジックのアップグレードといった管理操作を実行できるものです。

これらの権限が攻撃者に制御されると、攻撃者は事実上、プロジェクト自体の権限で行動できるようになります。今回のケースでは、WEMIX Foundationが公表した説明によると、その結果としてトークンが不正に作成され、その後送金されました。

WEMIXは過去にもセキュリティ事案に直面しています。BleepingComputerによると、同社のPlay Bridgeは別の攻撃で悪用され、約$6.1 millionが盗まれました。

最新のオーナー権限侵害に関する運用上の詳細は、入手可能な証拠に基づく限り未確認です。アクセスがどのように取得されたのか、資金が回収されたのか、また追加の是正措置が講じられた可能性があるのかは、まだ確定していません。報告された不正発行と送金を超える詳細については、一次情報源によって確認されない限り、未検証として扱うべきです。

トークン保有者とスマートコントラクトセキュリティへの影響

コントラクトオーナー権限の侵害は、市場関連の問題ではなく、アクセス制御と管理者キーの弱点を示すものです。オーナーキーが供給量に関わる機能を制御できるトークンコントラクトでは、そのキーを管理する主体がトークンを発行したり、その他の機密性の高い管理操作を実行したりできる可能性があります。そのため、特権キーはWeb3システムにおいて最も価値の高い標的の一つとなっています。

不正発行は保有者にとって重要です。新たに作成されたトークンは既存の供給量を希薄化させる可能性があり、プロジェクトが対応する前に送金されることもあります。技術的な詳細が完全に明らかになる前であっても、不正発行はトークンの供給管理の完全性に疑問を生じさせる可能性があります。影響を受けたユーザーや取引相手にとって最も関連性の高い更新情報は、侵害された権限、取引追跡、コントラクト制御または管理者キーがローテーションまたは制限されたかどうかに関する一次情報源からの開示です。

この事案は、暗号資産セクター全体におけるより広範なセキュリティ上の懸念を反映しています。Binance創業者のCZは以前、外見上は健全に見える暗号資産関連業務の内部にも隠れたセキュリティリスクが存在し得ると警告しており、権限管理は繰り返し見られる運用上のリスクであり続けています。

人を標的とする攻撃経路も、キー侵害につながる一般的なルートであり続けています。Binanceは、失敗を繰り返した場合に結果を伴う社内レッドチームによるフィッシングテストを実施している一方、研究者らはBlueNoroffが偽のZoomおよびTeams会議を使って暗号資産ユーザーを標的にし、認証情報を収集していた手口を記録しています。

業界全体にとってのセキュリティ上の教訓は、特権的なコントラクト機能はマルチシグ承認、タイムロック、継続的な監視といった制御によって保護されるべきだということです。これにより、異常な発行やその他の機密性の高い操作を、価値がシステム外へ流出する前に検知し、停止できる可能性があります。