脆弱性事件

The Sandboxは8月22日に脆弱性事件の事後分析報告を発表しました。報告によると、攻撃者はBaseおよびBNBスマートチェーン（BSC）上のクロスチェーン設定に関連する契約の脆弱性を利用し、Ethereumの金庫から14,742,341.84枚のSANDを盗み出しました。これは最大供給量の約0.5%に相当し、経済的影響は約149.68万ドルと推定され、そのうち約98.7万ドルが攻撃者によって実際に奪われました。EthereumメインネットおよびPolygonネットワークは影響を受けていません。別途通知があるまで、BaseまたはBNBスマートチェーン上でSANDを購入または送信しないでください。BaseおよびBNBスマートチェーン上に展開されている契約は永久に無効化され、再開されることはありません。The Sandboxは、チームが攻撃者のウォレットアドレスをブロックチェーン分析会社TRM LabsおよびChainalysisに報告し、関連する取引所と直接コミュニケーションを取っていると述べています。The Sandboxは同時に補償プランを発表し、事件発生前にBaseまたはBSC上で合法的にクロスチェーンSANDを保有していたウォレットに対し、1:1の比率でEthereum SANDで補償を行います。補償資金はThe Sandboxの金庫から提供され、新しいトークンは発行されません。申請プロセスは今後2週間以内に開始され、2週間の間開放されます。

Galaxyの研究責任者の監視によると、Coldcardの脆弱性事件は8865のアドレスに関与し、合計で1789.28枚のBTCが失われ、盗難時の価値は1.147億ドル、現在の価値は1.388億ドルです。アドレス別に統計を取ると、単一アドレスの損失中央値は0.00152枚のBTC、平均値は0.20184枚のBTCです；アドレスの休眠期間の中央値は3.2年、平均値は3.6年です。221件の被害者報告の中で、損失の中央値は1.04272枚のBTC、平均値は3.57792枚のBTCです；休眠期間の中央値は3.25年、平均値は2.99年です。被害者が報告した損失は790.72枚のBTCで、総損失の44.2%を占めています。中程度の信頼度の損失を含め、関連する損失がまだ確認されていない場合、総損失は1824枚のBTCに達し、損失発生時の価格で計算すると価値は1.4億ドルになります。

The Blockによると、Coldcardの脆弱性によるウォレット移行の影響で、先週のビットコイン新アドレスの数が約26万から33万を超え、2026年のほとんどの期間の下降トレンドを逆転させました。7月30日以降、Coinkiteハードウェアウォレットのユーザーは4回の攻撃で少なくとも1,816 BTC（約1.16億ドル）を失いました。この脆弱性は2021年のファームウェアの欠陥に起因しており、助記詞を生成する際に安全性の低いソフトウェア乱数生成器を使用し、デバイス内蔵のハードウェアエントロピー源を使用しなかったため、攻撃者はオフラインで生成されたウォレットをブルートフォース攻撃で解読可能でした。Coinkiteは2021年3月から安全パッチのリリースまでにウォレットを生成したユーザーに新しいウォレットへの移行を推奨しています。この事件は自己管理の実施リスクを浮き彫りにし、ユーザーは自己管理と中央集権取引所やETFなどの管理ソリューションの利点と欠点を再評価しています。

Arkhamの監視によると、あるアドレスがZcashのプライバシープールOrchard Poolからプール内の総量の約1%に相当するZECを引き出した。現在、Orchard Poolは理論上約388万枚のZECを保持しており、現価格で計算すると約16.5億ドルの価値がある。

Dragonflyの管理パートナーであるHaseebは、最近修正されたZcashの脆弱性についての投稿で、市場にはこの事件に関する多くの誤解が存在すると述べています。彼は、脆弱性が修正される前に利用されたとしても、攻撃者はプライバシープール内のZECを偽造することでしか利益を得られず、これらのトークンが主流の取引所に入るためには、プライバシーアドレスから透明アドレスへの変換を完了する必要があると指摘しました。透明アドレス内のZECの供給量は公開検証可能であり、最大供給量を超える異常な転出は発見され、阻止されるため、透明なZECを保有する投資家や取引所のユーザーの大多数は影響を受けないでしょう。Haseebは、Zcashチームが今後のアップグレードで新しい「ターンスタイル」メカニズムと新しいプライバシープールを導入し、現在のプライバシープールにインフレ問題が存在しないことを検証する計画であると述べました。彼はまた、形式的に検証された暗号システムが設計レベルで実装エラーを減少させることができると述べました。Haseebは最後に、Dragonflyが現在もZECを保有しており、彼自身もZODLの投資家であることを明らかにしました。

Polygonの公式は、rsETHの脆弱性を積極的に監視していると発表しました：Polygon Chain、Agglayer、そしてKatanaやVaultbridgeを含む全エコシステムは今回の事件の影響を受けていません。Polygonはこれまでに2兆ドル以上の資金を安全に移転しており、今後も事態の進展を注意深く見守っていくとのことです。

SolanaFloor の最新データによると、Drift プロトコルの脆弱性事件の影響範囲が拡大しており、影響を受けたプロトコルは以前の 11 から 20 に増加し、新たに PiggyBank、Perena、Vectis、Valeo、Amp Pay、Loopscale、Prime Numbers Fi、Gauntlet、Exponent の 9 つのプロトコルが追加されました。具体的な損失については、Prime Numbers Fi の推定損失は 1000 万ドルを超え、Gauntlet は約 640 万ドル、Neutral Trade は約 367 万ドル、Elemental DeFi は約 290 万ドル、Reflect Money は約 195 万ドル、Vectis は約 169 万ドル、Ranger Finance は約 91.9 万ドル、Pyra は約 55.1 万ドル、PiggyBank は確認された損失が 10.6 万ドルで、チームが全額を補償します。各プロトコルは適切な措置を講じており、大多数は鋳造、償還、入出金または関連する金庫機能を一時停止しています。Prime Numbers Fi はまだ評価中で、具体的な行動は発表されていません。Vectis はまだ応答していませんが、Ranger Finance によってリスクエクスポージャーが確認されています。Gauntlet はさらなる供給を制限し、Drift と調整を行っています。

PeckShieldによると、3月には20件の主要な暗号ハッキングおよび脆弱性事件が発生し、約5200万ドルの損失が出ました。これは2月の2650万ドルから約96%の増加です。その中で、Resolv Labsは攻撃を受け、2500万ドル以上のUSDTペッグのステーブルコインUSRTを失いました。攻撃者はそのUSR発行契約の脆弱性を利用して、約8000万枚の無担保ステーブルコインを追加で発行し、USRの価格は約80%暴落し、Morpho Blue、Euler、FluidなどのDeFiプロトコルにおいてシステミックな不良債権が形成されました。さらに、Xユーザーの"Sillytuna"は、約2400万ドルのAaveイーサリアムUSDC（aEthUSDC）が、誘拐と暴力の脅威を伴うオフライン攻撃で盗まれたと述べています。攻撃者はその後、ビットコイン、モネロ、及び複数のLayer 2ネットワークを通じて資金を分散して移転しました。

ChainCatcher のメッセージによると、Bedrock の公式情報が発表され、uniBTC のセキュリティ脆弱性に関する分析レポートが公開されました。主な内容は以下の通りです：コントラクトの脆弱性が確認され、解決されました；すべての資産は安全です；エアドロップ計画：すべての uniBTC 保有者は 100 ダイヤモンドのエアドロップを申請できます。今後の TGE コミュニティエアドロップは 0.5% 増加します；コントラクトの開始時間は公式の通知を待つ必要があります。

ChainCatcher のメッセージによると、MetaMask は X プラットフォームで投稿し、MetaMask Bridge ユーザーは Socket 脆弱性の影響を受けないと述べています。MetaMask は、クロスチェーンブリッジ契約を設計する際に独自のアーキテクチャを採用し、このような攻撃から防ぐことを目的としていると指摘しています。

ChainCatcher メッセージ、アメリカ証券取引委員会（SEC）議長のゲイリー・ゲンスラーは声明を発表し、現在、無許可の第三者がSECのシステム、データ、デバイス、またはその他のソーシャルメディアアカウントへのアクセス権を取得したという証拠はないと述べました。彼はアメリカ証券取引委員会がこのサイバーセキュリティ事件を真剣に受け止めており、現在、このセキュリティの脆弱性が暗号通貨機関、投資家、市場に与える影響を評価していると述べました。さらに、スタッフは追加の救済措置が必要かどうかを引き続き評価します。

ChainCatcher のメッセージ、イーサリアムプログラミング言語 Vyper が先週の脆弱性事件に関する事後分析レポートを発表しました。レポートによると、7 月 30 日に Vyper コンパイラの潜在的な脆弱性により、複数の Curve 流動性プールが悪用されました。この脆弱性は、正しく実装されていない再入防止策であり、影響を受けた Vyper のバージョンには v0.2.15、v0.2.16 および v0.3.0 が含まれます。Vyper は、この脆弱性が v0.3.1 バージョンで修正され、テストされたと述べており、v0.3.1 以降のバージョンは安全であるとしています。しかし、その時点では、脆弱なバージョンのコンパイラを使用しているプロトコルに影響を与えることに気づいておらず、下流のプロトコルに対しても迅速に通知されていませんでした。

ChainCatcher のメッセージによると、Curve Finance は、以前の流動性プールの脆弱性攻撃事件がそのネイティブステーブルコイン crvUSD の価格に大きな影響を与えなかったとツイートしました。crvUSD も為替レートのペッグが外れる問題は発生していません。Curve Finance は、最近の数日間の事件は、ある意味で以前のシリコンバレー銀行と USDC の状況に似ていると述べ、crvUSD の価格は 0.35% 下落し、現在のペッグレートはわずか 0.1% の低下にとどまっているとしています。

ChainCatcher のメッセージによると、DeFi プロトコル MetronomeDAO は、Curve プールの脆弱性事件で利用された資金の大部分を無事に回収したとツイートし、残りの資金回収に向けて引き続き努力することを発表しました。プロジェクトチームは次のステップとして、回復計画を急いで確定する必要があります。現在、新しい msETH/WETH プールが設立され、初期流動性が注入されており、今後 10 日間でさらに増加する予定です。回復計画には、LP がこの新しいプールでどのように地位を確保するかが含まれます。この新しい msETH/WETH プールの展開時に、プロジェクトチームは Metronome メインネットの運用を回復できたことを確認しました。ユーザーは再び自分の Metronome Synth とスマートマイニングを管理できるようになります。