ヴェルスのイーサリアムブリッジで約754万ドル流出、5月と同じ種類の脆弱性悪用か

渡邉洋輔
ニュース

約2カ月前に流出したブリッジで再び被害

レイヤー1ブロックチェーン「ヴェルス（Verus）」とイーサリアム（Ethereum）を接続するヴェルス公式ブリッジ「ヴェルス・イーサリアムブリッジ（Verus-Ethereum Bridge）」で、約754万ドル（約12.3億円）相当の資産が流出するエクスプロイト（脆弱性を悪用した攻撃）が発生した。オンチェーンセキュリティ企業ブロックエイド（Blockaid）が7月23日に報告した。

ヴェルスは、2018年に立ち上げられたレイヤー1ブロックチェーンだ。同チェーンは、プライバシー機能や複数のブロックチェーン間で資産を移転するクロスチェーン機能を備えたブロックチェーン基盤として開発されている。今回攻撃を受けたブリッジは、ヴェルスとイーサリアム間で資産を移転・変換するために利用されている。

今回攻撃を受けたブリッジでは、今年5月にも約1,158万ドル（約18.4億円）相当の資産が流出しており、約2カ月で再び被害が発生した。ブロックエイドによると、今回の攻撃は前回と同じブリッジコントラクト、同じインポート経路、同じ種類の脆弱性に関係するものとみられる。一方、攻撃に用いられたアドレスと流出資産の受取ウォレットは前回とは異なるという。

ブロックエイドは、今回の攻撃で、攻撃者が本来受け取ることのできない資産をブリッジから不正に引き出したと説明している。具体的には、攻撃者がブリッジのインポート経路を悪用したことで、送信元チェーン上の対応する資産に裏付けられていないにもかかわらず、イーサリアム側で資産の払い出しが実行されたとのことだ。これにより、ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDが流出した。

一方、セキュリティリサーチャーのサンセック（SunSec）は、送信元と送信先で資産額が一致しているかを十分に確認していなかった点が、今回の問題につながったとの見方を示している。具体的には、ブリッジは署名などの暗号学的検証によって、「対象のインポートが正規に承認されたものか」を確認していた。一方で、「実際にロックされた資産額と同額を払い出しているか」という確認は十分ではなかったとのことだ。その結果、攻撃者は暗号学的検証を通過するよう細工したインポートを悪用し、本来受け取ることのできない資産を引き出せた可能性があるとサンセックは分析している。

サンセックは今回の攻撃について、暗号技術そのものが破られたのではなく、払い出しの経済的な裏付けを確認する「資産管理ロジック」の不備が悪用されたとの見方を示している。

また、オンチェーン分析企業ルックオンチェーン（Lookonchain）は、攻撃者が盗んだ資産を約3,916ETHへ交換した後、送金経路を分かりにくくする暗号資産（仮想通貨）の匿名化プロトコル「トルネードキャッシュ（Tornado Cash）」へ送金したと報告した。オンチェーン分析プラットフォーム「アーカム（Arkham）」でも、攻撃者のウォレットからトルネードキャッシュへの送金が確認できる。

参考：アーカム
画像：PIXTA

関連ニュース

関連するキーワード

#ETH

この記事の著者・インタビューイ

渡邉洋輔

「あたらしい経済」編集部 記者
ブロックチェーンおよびデジタル資産分野を専門とし情報発信を行っている。オンチェーンデータや流動性構造など、市場設計の観点からのリサーチにも取り組んでいる。

「あたらしい経済」編集部 記者
ブロックチェーンおよびデジタル資産分野を専門とし情報発信を行っている。オンチェーンデータや流動性構造など、市場設計の観点からのリサーチにも取り組んでいる。

合わせて読みたい記事

カイアDLT財団とfinojectが業務提携、日本でステーブルコインやトークン化の事業推進

レイヤー1ブロックチェーン「カイア（Kaia）」のエコシステム拡大を担うカイアDLT財団（Kaia DLT Foundation）と、Web3・金融コンサルティング会社のフィノジェクト（finoject）が、日本におけるステーブルコインやトークン化関連事業の推進に向けた業務提携契約を締結した

大津賀新也

 ニュース

【7/23話題】アービトラム向けUSDCブリッジで約2415万ドル流出、米上院共和党が「CLARITY法」修正版を公表など（音声ニュース）

ブロックチェーン・仮想通貨（暗号資産）・フィンテックについてのニュース解説を「あたらしい経済」編集部が、平日毎日ポッドキャストでお届けします。Apple Podcast、Spotify、Voicyなどで配信中。ぜひとも各サービスでチャンネルをフォロー（購読登録）して、日々の情報収集にお役立てください。

あたらしい経済ポッドキャスト

 ニュース
最新の記事をさらに見る >
facebookでシェア
Twitterでシェア
LINEでシェア