コントラクトの脆弱性

据 The Block 报道，跨链流动性协议 CrossCurve（原名 EYWA）确认其跨链桥协议"正遭受攻击"，原因是其智能合约中的一个漏洞被利用，导致约 300 万美元资金被跨多个网络窃取。区块链安全机构 Defimon Alerts 发现，此次攻击的攻击途径是 CrossCurve 的 ReceiverAxelar 合约中的网关验证绕过漏洞。分析显示，任何人都可以使用伪造的跨链消息调用该合约的 expressExecute 函数，从而绕过预期的网关验证，并触发协议 PortalV2 合约上的未经授权的代币解锁。该协议由 Curve Finance 创始人 Michael Egorov 支持，此前已融资 700 万美元。

市場の情報によると、数時間前にイーサリアム、Arbitrum、Base、BSCに展開された被害契約に対する一連の疑わしい取引が発見されました。これらの取引は、2名の作成者が展開した契約が攻撃を受け、総損失は1700万ドルを超えています。被害契約はオープンソースではなく、任意呼び出し機能の脆弱性が存在するようです。攻撃者は既存のトークンの承認を悪用し、transferFrom操作を実行して資産を盗みました。影響を受けた展開者：0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112------損失約367万ドル；0x9cb8d9BaE84830b7F5F11ee5048c04a80b8514BA------損失約1,341万ドル。

据 Anthropic 発表の最前線レッドチームテスト結果、AI エージェントはシミュレーションされたブロックチェーン環境で複数のスマートコントラクトの脆弱性を特定し、潜在的に利用可能な金額は 460 万ドルに達します。テストは、コントラクト分析、コマンドラインツールの設定、ネットワーク再構築、Exploit の生成と検証などの完全なプロセスをカバーし、スマートコントラクトのセキュリティ評価の新しいベンチマークを発表しました。この研究は、Anthropic、MATS プロジェクト、Fellows プログラムの共同で実施されました。

ChainCatcher のメッセージによると、CrowdFund Insider は、アーンスト・アンド・ヤング（EY）がそのブロックチェーン分析ツールであるスマートコントラクトとトークンレビュー（SC&TR）ツールに新しい人工知能機能を導入したと報じています。この機能は、より広範なコードカバレッジを通じてスマートコントラクトの脆弱性検出を強化し、契約シミュレーションプロセスを簡素化することを目的としており、より迅速で堅牢なスマートコントラクトレビューを実現します。この AI 機能により、ユーザーは自然言語のプロンプトとツールのテストエンジンを使用して、契約レビュー全体のプロセスを自動化およびシミュレーションすることができ、効率が大幅に向上します。この機能は、既存のテストおよびシミュレーションライブラリの膨大なデータに基づいてトレーニングされており、レビュー担当者をサポートし、脆弱性検出能力を向上させます。自動化により、顧客は同じリソースを維持しながら、より高いテストカバレッジを実現でき、EY チームのレビュー時間を 50% 短縮します。EY のグローバルブロックチェーン責任者であるポール・ブロディは次のように述べています。「スマートコントラクトの真の価値を最大限に引き出すためには、企業はまず、テストプロセスにおける時間のかかる、見落とされがちな手動プロセスを排除する必要があります。私たちのブロックチェーン分析ツールは、ブロックチェーンと AI がどのように相互補完し、プロセスの自動化と改善を実現するかを示しています。」

ChainCatcher のメッセージ、機械知能ネットワーク Spectral は事後報告を発表し、その Syntax プラットフォームが 12 月 1 日にセキュリティ脆弱性攻撃を受けたことを明らかにしました。Spectral は Bonding Curve コントラクト内の脆弱性を特定し修正したと述べ、今後同様の攻撃が再発しないようにしています。現在、Zellic に更新されたコントラクトの監査を委託しており、攻撃前の状態に Bonding Curve を復元するために SPEC トークンを追加する予定です。プロジェクトチームは、監査が完了次第プラットフォームの運営を再開すると述べています。

ChainCatcher のメッセージによると、The Block が報じたところでは、Forta は a16z crypto、Coinbase Ventures およびその他の投資家に支援された Web3 セキュリティ会社であり、新しい製品であるファイアウォールを発表しました。これは、スマートコントラクトの脆弱性を検出し防止するのに役立ちます。このファイアウォールは、FORTRESS と呼ばれる機械学習および人工知能モデルを採用しており、取引ログをチェックすることで高リスク取引を分析および検出します。Forta ファイアウォールのビジネスモデルは、毎月固定料金を請求することですが、Beal は具体的な金額を明らかにすることを拒否しました。初期の顧客には Euler、Plume、Balmy が含まれています。

ChainCatcher のメッセージによると、安全機関 OpenZeppelin がツイートしたところによれば、Thirdweb の契約に関するセキュリティ脆弱性はまだ悪用されていないとのことです。この脆弱性の問題は特定のパターンの統合に関するものであり、OpenZeppelin の契約ライブラリに含まれる実装とは関係ありません。OpenZeppelin は引き続き、コミュニティ内の影響を受けた人々を評価し、緩和策を提供し、適切な時期にこの脆弱性を開示する予定です。Thirdweb のユーザーに対して、チームはそのプラットフォームで作成された契約が影響を受けているかどうかをチェックし、移行を実行するためのツールを開発しました：https://mitigate.thirdweb.com。

ChainCatcher のメッセージ、ブロックチェーン技術会社 ConsenSys は、スマートコントラクトテスト用の「Diligence Fuzzing（ファジングテスト）」ツールを公開しました。新しいツールは、「ランダムで無効なデータポイント」を生成し、コントラクトが公開される前にコントラクト内の脆弱性を発見することを目的としています。この新しいツールは以前はクローズドテスト版として提供されており、開発者はアクセスの承認を得る必要がありました。8月1日から、この承認プロセスは不要になりました。

ChainCatcher のメッセージ、クロスチェーン相互運用性プロトコル Celer Network は水曜日に、Jump Crypto によって最初に発見されたステークプルーフブロックチェーン State Guardian Network （SGH）内の脆弱性を修正したと報告しました。この脆弱性が悪用されると、悪意のある検証ノードが大量の不正な「投票」を提出し、ネットワークの状態が変更される可能性があります。Celer は、この脆弱性によって資金の損失は発生しなかったと強調しています。この脆弱性は公開アクセスできず、発見時には資金が直接的なリスクにさらされることもありませんでした。さらに、チームは Jump Crypto に対して脆弱性報奨金を提供することを提案しました。（The Block）

ChainCatcher のメッセージ、Coinbase の責任者 Conor Grogan がツイートを発表し、彼が ChatGPT-4 にリアルタイムのイーサリアムスマートコントラクトを挿入したところ、AI が瞬時にセキュリティの脆弱性を見つけ出し、さらにはそれらの脆弱性を利用して攻撃する方法を示したと述べています。Conor Grogan は、このコントラクトが2018年にハッカーによって脆弱性を利用されて攻撃されたことを補足し、さらに Euler のスマートコントラクトも試みたが、コントラクトが長すぎて ChatGPT-4 に処理できなかったことを明らかにしました。Conor Grogan は、AI が最終的にスマートコントラクトをより安全で、構築しやすくするだろうと考えています。（出典リンク）

ChainCatcher のメッセージによると、派盾（PeckShield）の監視により、イーサリアムアラームクロック（Ethereum Alarm Clock）スマートコントラクトが悪用され、攻撃者がより高い取引手数料を設定することで、予想以上の ETH での返金を受け取ることが可能になったことが示されています。通常、コントラクトを呼び出すユーザーは、取引手数料をわずかに上回る報酬しか受け取らないため、現在この脆弱性により約 204 ETH が盗まれ、約 26 万ドルの価値があります。報告によると、イーサリアムアラームクロックスマートコントラクトは、ユーザーが受取人アドレス、送金額、取引時間を事前に決定することで、将来の取引をスケジュールすることを可能にしています。（出典リンク）

チェーンキャッチャーのメッセージCosmos SDKを基に開発された全チェーン式DEX Sifchainは、ネットワークのメンテナンスアップグレードと運用を一時停止することをツイートしました。チェーン上でのアップグレードがレバレッジ取引を有効にした後、ユーザーの流動性が増加し、資産の移動に異常な活動が見られましたが、この脆弱性の影響はすぐに制御され、多くの追加資産を得たユーザーが資金の返還を希望しています。現在、エンジニアリングチームはネットワークとDEXの再起動の修正および前進のロードマップを確定し、テストを行っています。また、エンジニアリングはこの状況に関連する取引とウォレットの分析を進めています。（出典リンク）