ヴェルスのイーサリアムブリッジで約754万ドル流出、5月と同じ種類の脆弱性悪用か

渡邉洋輔
ニュース

約2カ月前に流出したブリッジで再び被害

レイヤー1ブロックチェーン「ヴェルス（Verus）」とイーサリアム（Ethereum）を接続するヴェルス公式ブリッジ「ヴェルス・イーサリアムブリッジ（Verus-Ethereum Bridge）」で、約754万ドル（約12.3億円）相当の資産が流出するエクスプロイト（脆弱性を悪用した攻撃）が発生した。オンチェーンセキュリティ企業ブロックエイド（Blockaid）が7月23日に報告した。

2018年に立ち上げられたヴェルスは、プライバシー機能や複数のブロックチェーン間で資産を移転するクロスチェーン機能を備えたブロックチェーン。今回攻撃を受けたブリッジは、ヴェルスとイーサリアム間で資産を移転・変換するために利用されている。

同ブリッジでは、今年5月にも約1,158万ドル（約18.4億円）相当の資産が流出しており、約2カ月で再び被害が発生した。ブロックエイドによると、今回の攻撃は前回と同じブリッジコントラクト、同じインポート経路、同じ種類の脆弱性に関係するものとみられる。一方、攻撃に用いられたアドレスと流出資産の受取ウォレットは前回とは異なるという。

ブロックエイドは、今回の攻撃で、攻撃者が本来受け取ることのできない資産をブリッジから不正に引き出したと説明している。具体的には、攻撃者がブリッジのインポート経路を悪用したことで、送信元チェーン上の対応する資産に裏付けられていないにもかかわらず、イーサリアム側で資産の払い出しが実行されたとのことだ。これにより、ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDが流出した。

一方、セキュリティリサーチャーのサンセック（SunSec）は、送信元と送信先で資産額が一致しているかを十分に確認していなかった点が、今回の問題につながったとの見方を示している。具体的には、ブリッジは署名などの暗号学的検証によって、「対象のインポートが正規に承認されたものか」を確認していた。一方で、「実際にロックされた資産額と同額を払い出しているか」という確認は十分ではなかったとのことだ。その結果、攻撃者は暗号学的検証を通過するよう細工したインポートを悪用し、本来受け取ることのできない資産を引き出せた可能性があるとサンセックは分析している。

サンセックは今回の攻撃について、暗号技術そのものが破られたのではなく、払い出しの経済的な裏付けを確認する「資産管理ロジック」の不備が悪用されたとの見方を示している。

また、オンチェーン分析企業ルックオンチェーン（Lookonchain）は、攻撃者が盗んだ資産を約3,916ETHへ交換した後、送金経路を分かりにくくする暗号資産（仮想通貨）の匿名化プロトコル「トルネードキャッシュ（Tornado Cash）」へ送金したと報告した。オンチェーン分析プラットフォーム「アーカム（Arkham）」でも、攻撃者のウォレットからトルネードキャッシュへの送金が確認できる。

参考：アーカム
画像：PIXTA

関連ニュース

関連するキーワード

#ETH

この記事の著者・インタビューイ

渡邉洋輔

「あたらしい経済」編集部 記者
ブロックチェーンおよびデジタル資産分野を専門とし情報発信を行っている。オンチェーンデータや流動性構造など、市場設計の観点からのリサーチにも取り組んでいる。

「あたらしい経済」編集部 記者
ブロックチェーンおよびデジタル資産分野を専門とし情報発信を行っている。オンチェーンデータや流動性構造など、市場設計の観点からのリサーチにも取り組んでいる。

合わせて読みたい記事

【8/7話題】 金融庁と警察庁が暗号資産交換業者に出庫制限要請、ロシアが暗号資産包括規制法が成立など（音声ニュース）

ブロックチェーン・仮想通貨（暗号資産）・フィンテックについてのニュース解説を「あたらしい経済」編集部が、平日毎日ポッドキャストでお届けします。Apple Podcast、Spotify、Voicyなどで配信中。ぜひとも各サービスでチャンネルをフォロー（購読登録）して、日々の情報収集にお役立てください。

あたらしい経済ポッドキャスト

 Sponsored

キリフダ、暗号資産188銘柄を11セクターに分類、独自指数公開

オンチェーン金融の事業化支援を手がけるキリフダが、暗号資産（仮想通貨）市場を対象とした独自のセクター分類基準「キリフダ・デジタル・アセッツ・セクター・クラシフィケーション（KIRIFUDA Digital Assets Sector Classification）」を策定し、同分類に基づく11のセクター指数と、暗号資産市場全体を表す総合指数の算出・公開を開始したと8月6日に発表した

大津賀新也

 ニュース

「Move」開発者サム・ブラックシア、Sui開発元ミステンラボCTO退任、アンソロピックへ

レイヤー1ブロックチェーン「スイ（Sui）」の開発元ミステン・ラボ（Mysten Labs）の共同創業者兼最高技術責任者（CTO）であるサム・ブラックシア（Sam Blackshear）氏が、CTOを退任して同社を離れ、AI企業アンソロピック（Anthropic）へ移籍することを8月6日に自身のXアカウントで発表した

渡邉洋輔

 ニュース
最新の記事をさらに見る >
facebookでシェア
Twitterでシェア
LINEでシェア