復盤

Bitcoin Newsによると、Blinkは9月19日の攻撃事件の完全な振り返りを発表しました。この攻撃により、24の顧客アカウントから合計6.61枚のBTCが盗まれました。同社は、この脆弱性が2023年10月から存在しており、無料のBlinkアカウントを持つユーザーは誰でもカスタマーサービスレベルの権限を取得し、顧客アカウントを乗っ取り、出金限度額を引き上げる可能性があると述べています。攻撃者は、3817のアカウントの一部情報を取得しました。これには一部の電話番号や電子メールアドレスが含まれていますが、名前、身分証明書、住所、パスワード、及びリカバリーフレーズは漏洩していません。盗まれた24のアカウントはすべて二段階認証を有効にしていませんでした。攻撃者は、9つの二段階認証保護が有効なアカウントから18回の出金を試みましたが、すべて失敗しました。Blinkの株主は、すべての影響を受けた顧客に全額賠償を行いました。約5枚の盗まれたBTCは、その後クロスチェーン交換サービスを通じて移転されました。Blinkは現在、最大約3.3枚のBTCの回収報酬を提供しており、回収に成功した資金の半分は、有効な手がかりを提供した者及びビットコイン循環経済体に分配されます。

Ostiumの公式報告によると、今回の攻撃の核心はオフチェーン価格報告システムの権限が侵害されたことであり、スマートコントラクトの脆弱性とは無関係です。攻撃者はオフチェーンの権限を取得した後、プロトコルに既に登録されている正当な転送パスを利用して、BTC-USD市場に偽の価格（5,000ドルと60,000ドル）を提出し、同一取引内で原子的にポジションの開閉アービトラージサイクルを完了させ、100 USDCから始めて規模を拡大し、8回の取引を経て、5分以内にOLP金庫から2375万USDCを引き出しました。金庫のブレーク機構が発動するまで続きました。根本的な原因は、オフチェーンの基盤インフラがオンチェーンのマルチシグと同等のレベルの多者承認メカニズムを欠いており、単一の権限の脆弱性を形成していることです。盗まれた資金はETHに変換され、Tornado Cashでミキシングされました。追跡作業はまだ進行中です。

Rhea Financeは攻撃の振り返り報告を発表し、今回の脆弱性による実際の損失が約1840万ドルであることを確認しました。これは最初の約760万ドルの推定から大幅に引き上げられたものです。攻撃者は複雑な取引経路を構築し、偽のトークンプールを利用して流動性を操作し、借入資産を自らが管理するプールに導入しました。同時に、わずかな資産しか返還せず、大量のマージンポジションが急速に低担保状態となり、清算が発生し、最終的にプロトコルの準備金が枯渇しました。現在、約1120万ドルの資金が回収または凍結されており、その中には攻撃者が返還した一部のUSDCおよびNEAR資産、さらに約434万ドルのUSDTが凍結されています（Tetherの協力による）。