オリジナル | Odaily Planet Daily ( @OdailyChina )
著者 | アッシャー ( @Asher_0210 )
昨夜、Bybitの共同創設者兼CEOのベン・ジョウ氏は、 Xプラットフォーム上でSygniaとVerichainsが提供したハッカーフォレンジックレポートを公開し、資金の盗難はSafeインフラストラクチャの脆弱性によって引き起こされたことを明らかにした。さらに、悪意のあるコードは2月19日15時29分25秒UTCに展開され、特にBybitのイーサリアムマルチシグネチャコールドウォレットを標的としていた。このニュースの影響を受けて、SAFEは短期間で10％以上下落しました。価格は0.5ドルから下落し始め、一時0.44ドルを下回りました。
次に、Odaily Planet Dailyは、BybitがSafeに脆弱性があると指摘した後のSafeチームの対応とコミュニティの意見を整理します。
安全なプロジェクトの紹介
Safe の前身は Gnosis Safe と呼ばれていました。このプロジェクトはもともと、Gnosis チームのユーザーが ICO 資金を管理するためのマルチ署名ツールに過ぎませんでしたが、後にチームはこの内部ツールをパブリック サービスとして宣伝することを決定しました。
プロジェクト自体の発展と業界の物語の繰り返し（特にアカウント抽象化の概念の台頭）により、 Safe はもはや単純なマルチ署名ツールではなく、モジュール式のスマート コントラクト アカウント インフラストラクチャに変わりました。デフォルトのスマート コントラクト アカウントを通じて、現在の主流の EoA アカウントを徐々に置き換え、暗号通貨のさらなる普及の基盤を築くことを目指しています。
Safe は公的資金調達の履歴が 1 回しかありません。 2022年7月、 Safeは1kxが主導し、Tiger Global、AT Capital、Blockchain Capital、Digital Currency Group、IOSG Ventures、Greenfield One、Rockaway Blockchain Fund、ParaFi、Lightspeed、Polymorphic Capital、Superscrypt、その他50の戦略的パートナーや業界の専門家（その年の誇らしいラインナップ）が参加した1億米ドルの戦略的資金調達の完了を発表しました。
Bybitハッカーのフォレンジックレポートに対するSafeの公式回答：契約とフロントエンドコードに脆弱性はない
Bybitのハッカーフォレンジックレポートを受けて、Safe{Wallet}チームは直ちに詳細な調査を実施し、Lazarus GroupがBybitに対して仕掛けた標的型攻撃を分析しました（Lazarus Groupは「Guardians」または「Peace or Whois Team」としても知られ、北朝鮮政府によって管理されているとされる人数不明のハッカー集団です。この集団についてはほとんど知られていませんが、研究者は2010年以来、複数のサイバー攻撃をこの集団が行ったものとしています） 。
開発者のマシンがハッキングされ、Bybitの資金が盗まれたが、契約とフロントエンドコードに脆弱性はなかった。チームの調査により、攻撃は Safe のスマート コントラクトやフロントエンド コードの脆弱性によるものではなく、Safe{Wallet} 開発者のマシンに感染し、偽装された悪意のあるトランザクションを開始することによって行われたことが確認されました。外部のセキュリティ専門家によるフォレンジック分析では、システムレベルまたは契約レベルでセキュリティ上の問題は見つからず、攻撃の根本的な原因は開発者のマシンのセキュリティ上の脆弱性であったことが示されました。
この事件を受けて、Safe{Wallet} は包括的な対応を実施し、すべてのインフラストラクチャを再構築し、資格情報を更新し、攻撃ベクトルを完全に排除しました。現在、Safe{Wallet} は、システムのセキュリティを確保するために段階的なロールアウトアプローチを使用して、Ethereum メインネット上で通常の運用を再開しています。同時に、Safe{Wallet} チームはトランザクションの検証可能性を継続的に推進し、Web3 のセキュリティと業界の透明性の向上に取り組んでいきます。 Safe{Wallet} フロントエンドは正常に動作しており、追加のセキュリティ対策も講じられていますが、チームは依然として、トランザクションに署名する際には細心の注意と警戒を払うようユーザーに呼びかけています。
しかし、セーフ社が発表した事故報告書は広く受け入れられなかった。報告書の曖昧な表現は、核心的な問題を曖昧にしていると考えられている。バイナンスの共同創業者CZ氏はXプラットフォームで「他の業界関係者を批判するわけではないが、報告書の複数の問題は明確に説明されておらず、読んだ後に答えよりも疑問が残る」と述べた。
Safeフロントエンドが改ざんされた理由についてはまだ詳細を開示する必要がある
「Safeブランドは、現時点ではスマートコントラクト部分のみに価値がある」。SlowMist YuxianはXプラットフォームに投稿し、「Safeはついにハッキングされた。確かにスマートコントラクト部分は問題ない（チェーン上で検証しやすい）が、フロントエンドは改ざんされ偽造され、欺瞞効果を実現した。なぜ改ざんされたのかについては、Safeの公式詳細が公開されるまで待て」と述べた。
「敵に警戒されるのが怖いので、大きな太ったウサギのバイビットだけに注目しています。」
Safeは一種のセキュリティインフラストラクチャです。多くの人が問題のあるバージョンを使用しています。理論的には、このマルチシグネチャウォレットを使用するすべての人がBybitのように盗まれる可能性がありますが、Bybitではないため、トリガーされません。したがって、フロントエンドや API などを備えた他のすべてのユーザー対話型サービスが危険にさらされる可能性があります。これは、典型的なサプライ チェーン攻撃でもあります。おそらく、巨大な資産のセキュリティ管理モデルを大幅にアップグレードする必要があります。
さらに、コミュニティのメンバーは、資金が解放されるまであと2か月しか残っていないこと、現在の悪影響によりSafeが直面している時間的プレッシャーがさらに厳しくなり、今後この困難を克服できるかどうかは不透明であると指摘した。
まとめ
この事件では、Safe の脆弱性により Web3 セキュリティ分野におけるいくつかの重要な問題が露呈し、業界全体に警鐘が鳴らされました。
まず、スマート コントラクトの複雑さを管理することは、特にマルチ署名ウォレットのような複雑な機能を備えたアプリケーションでは重要です。マルチ署名ウォレットはセキュリティを向上させるように設計されていますが、デリゲートコールなどの複雑な機能は、適切に管理されない場合、潜在的なセキュリティの脆弱性につながる可能性があります。したがって、抜け穴を見逃さないように、スマート コントラクトは厳密に監査され、適切にテストされる必要があります。
第二に、フロントエンド検証の重要性を無視することはできません。ハッカーはフロントエンドインターフェースを改ざんして攻撃を開始し、ユーザー資産の損失を引き起こし、フロントエンドの改ざん防止の弱点を露呈しました。このような攻撃を防ぐには、ユーザー インターフェイスの検証メカニズムを強化して、各リンクが悪意のある偽装を効果的に識別し、トランザクションに署名する際にユーザーが誤解されることを防ぐ必要があります。
最後に、包括的な権限管理とリアルタイムのリスクスキャンが、同様のインシデントの再発を防ぐ鍵となります。詳細な権限管理とリアルタイム監視システムがないため、攻撃者が防御を突破して悪意のある操作を実行することが容易になります。したがって、スマートコントラクトを設計および実装する際には、複数の確認メカニズムを導入し、リスクの高い操作に対して追加の保護を提供し、潜在的な脅威をタイムリーに特定して対処できるように、リアルタイムのリスク監視を強化する必要があります。
