脆弱性報奨金

ZachXBTは、XRP Ledger財団が安全修正に関する回答について、財団の金庫が数十億ドルを保有しているにもかかわらず、「XRP無限増発」の重大な脆弱性を発見したホワイトハッカーに25万ドルしか支払わなかったと述べました。彼は、これにより攻撃者が善意で脆弱性を報告するのではなく、脆弱性を利用して数億ドルの資金を盗むことを選ぶようになると指摘しました。ZachXBTはさらに、このために人々がXRP LedgerやRippleを真剣な機関として見ることが難しいと述べました。以前、XRP Ledger財団は、関連する脆弱性がXRPを増発していないことを明確にし、パッチはコミュニティの合意によって推進されていると説明しました。

公式な情報によると、スマートコントラクト監査プラットフォーム Code4rena は徐々に運営を停止することを発表し、Web3 セキュリティ会社 Immunefi がその顧客とセキュリティ研究者を引き継ぐことになります。Code4rena はソーシャルメディアに投稿し、運営停止の決定を下したと述べ、すべての進行中のコンペティションと報酬活動は通常通り完了し、既存の協力関係は「適切に締めくくる」としています。Immunefi は Code4rena の報酬プロジェクト、報酬構造、研究者を自社プラットフォームに移行する手助けをすると述べています。Code4rena はその「競争的監査」モデルで知られ、独立した研究者が報酬を得るためにスマートコントラクトの脆弱性を見つける競争を行います。この運営停止は、ブロックチェーンセキュリティ会社 Zellic が 2024 年に Code4rena を買収してから 2 年も経っていません。以前、Code4rena は 2023 年に Paradigm から 600 万ドルを調達し、監査インセンティブとプラットフォームの拡張に使用しました。この閉鎖は、DeFi プロトコルとセキュリティ分野が困難な時期に直面している時期に行われます。DefiLlama のデータによると、4 月だけで 20 件以上の暗号脆弱性事件が発生し、月間記録を更新しました。モルガン・スタンレーのアナリストは、継続的な DeFi セキュリティ事件が主要な機関投資家の参入を制限していると考えています。同時に、DeFi の総ロック資産価値は 10 月の約 1600 億ドルから現在の約 830 億ドルに減少しています。

TrustedVolumesはXプラットフォームで攻撃を受けたことを確認し、現在までに盗まれた資金が3つのアドレスにそれぞれ保管されていることを明らかにしました。総額は約670万ドルです。そのうち2つのアドレスにはそれぞれ約300万ドルの資産があり、もう1つのアドレスには約70万ドルの資産があります。また、TrustedVolumesは脆弱性報酬および双方が受け入れ可能な解決策について攻撃者と建設的なコミュニケーションを行う意向を示しています。

ChainCatcher のメッセージ、セキュリティ会社 Dedaub チームは、Uniswap Labs のセキュリティ脆弱性報告に対して報奨金を受け取ったと発表しました。これは、Uniswap の深刻な脆弱性を開示したためであり、その脆弱性には再入可能性があり、ユーザーの資金を枯渇させる可能性があります。しかし、資金は安全であり、Uniswap チームはこの脆弱性を解決し、すべてのチェーンで Universal Router スマートコントラクトを再展開しました。Uniswap は 2022 年 11 月に「Universal Router」スマートコントラクトを発表し、ERC20 と NFT の交換を一つの交換ルーターに統一しました。ユーザーは、1 回の取引で複数のトークンと NFT を交換するなどの異種操作を実行できます。Dedaub は、このルーターがさまざまなトークン操作にスクリプト言語を埋め込んでいると述べています。このようなコマンドには、第三者（信頼できない可能性がある）受取人への転送が含まれる場合があります。転送プロセスのいかなる時点で第三者のコードが呼び出されると、そのコードは UniversalRouter に再入し、コントラクト内で任意のトークンを一時的に請求することができます。Dedaub は、Uniswap に新しいルーターのコア実行に再入ロックを追加し、再展開することを提案しています。

ChainCatcher のメッセージによると、ホワイトハッカーは 2022 年に Immunefi プラットフォームを通じて合計 5200 万ドルのバグバウンティを獲得しました。その中で、ホワイトハッカーはクロスチェーン相互運用プロトコル Wormhole のバウンティプログラムを通じて 1000 万ドルの報酬を得て、NEAR エコシステムの EVM 拡張ネットワーク Aurora のバグバウンティプログラムを通じて 600 万ドルの報酬を得ました。（出典リンク）

ChainCatcher のメッセージによると、Raydium の公式は昨日の攻撃に関して発表し、攻撃を受けた脆弱性はトロイの木馬攻撃とプール所有者アカウントの秘密鍵の漏洩に起因しているようだと述べています。攻撃者はマイニングプール所有者のアカウントにアクセスし、プール内のスワップ取引から得られた取引/プロトコル手数料を収集するための withdrawalPNL 関数を呼び出すことができました。影響を受けたプールには SOL-USDC、SOL-USDT、RAY-USDC、RAY-USDT などが含まれ、総損失額は約 439.5 万ドルです。さらに、即時の解決策として、以前のマイニングプール所有者の権限は撤回され、すべてのアカウントは新しいハードウェアウォレットアカウントに更新されました。そのため、攻撃者はもはやアクセス権を持たず、これらのプールを利用して攻撃を行うこともできません。もし攻撃者が資金を返還する場合、ハッカーには盗まれた資金の 10% がホワイトハットの脆弱性報酬として提供されます。（出典リンク）