脆弱性悪用

研究者は PHP の脆弱性を利用して「私のビットコインを盗む」（Steal My Bitcoin）チャレンジを成功裏に攻略しました。このチャレンジの賞金は 0.02511679 BTC でした。しかし、チャレンジ運営側は後にサーバーに保存されていたのが誤ったウォレットキーであることに気付き、最終的に手動で賞金をその研究者に転送せざるを得ませんでした。

Immunefiの安全責任者Gonçalo Magalhãesは、ある未公開のBase金庫が約600万ドルの脆弱性を利用され、事件発生時には金庫内に約3170万ドルの資産が残っていたと述べました。ブリーフィングによると、攻撃者はSafeのマルチシグウォレットを通じて悪意のある契約を金庫の貸出ホワイトリストに追加し、その後1783枚のaBaswstETHを引き出し、AaveV3を通じて約1783枚のwstETHに交換しました。Gonçalo Magalhãesは、ホワイトリストに制限されたアドレスは一見安全に見えるが、承認されたアドレスは無担保で資産を引き出すことができ、脆弱性を構成すると指摘しました。このホワイトリストの弱点は前の週に発見されましたが、研究者は明確な開示チャネルを欠いていました。事件発生から24時間以上経過しても、まだチームは公に認識したり、救済措置を開示したりしていません。

去中心化予測市場プラットフォーム Polymarket がハッキングされた疑いがあり、脅威行為者 xorcat が有名なネット犯罪フォーラムに30万件以上のデータ記録と関連する脆弱性利用ツールキットを公開しました。攻撃者は、未公開のAPIエンドポイント、ページングバイパス、Polymarket GammaとCLOB APIのCORS設定ミスを通じてデータを抽出したとされています。漏洩した内容には、1万件のユーザーの完全な個人情報（名前、代理ウォレット、基本アドレスを含む）、4111件のコメント、1000件の通報記録（58のETHアドレスと管理者認証アドレス識別を含む）、48536件のGamma市場のメタデータ、25万件以上のアクティブCLOB市場の固定積算マーケットメイカーアドレス、そして9000件のフォロワーのソーシャルグラフデータが含まれています。ツールキットには、複数の脆弱性の概念実証コードが含まれており、CVE-2025-62718（Axios NO_PROXYバイパス、CVSS 9.9、サーバーサイドリクエストフォージェリを引き起こす可能性）、CVE-2024-51479（Next.jsミドルウェア認証バイパス、CVSS 7.5）、およびCORS設定ミスなどが含まれています。さらに、ツールキットには自動化された継続的プルスクリプトと完全なレッドチームレポートも添付されています。

Gnosis は X プラットフォームで次のように発表しました："Balancer v2 の資金プールに影響を与える脆弱性の悪用事件に関する報告を受け取りました。現在、Gnosis は影響を受けた資金プールおよびアドレスの全範囲を特定するために全力を尽くしています。Gnosis チームはエコシステムのパートナーと調整を行っています。予防措置として、Gnosis は以下の行動を取っています：Monerium チームおよび Balancer チームと緊密に協力し、EURe/sDAI および GNO/osGNO の資金プールを凍結しました。ユーザーは引き続き UniV3 資金プールを通じて CoW Swap で取引を行うことができます。標準ブリッジを使用して Gnosis チェーンから資産をクロスチェーンで転送することは一時的に部分的に停止され、関連する取引は取り消されます。Gnosis は事態の進展を引き続き注意深く監視し、さらなる情報が得られ次第、迅速に更新を提供します。"

ChainCatcher のメッセージによると、ステーブルコインプロトコル Resupply は、その wstUSR 市場が一度の脆弱性悪用に遭遇したと発表しました。影響を受けた契約は特定され、停止されました。wstUSR 市場のみが影響を受けており、プロトコルは正常に稼働しています。状況の全面的な分析を行った後、完全な事件報告をすぐに共有します。以前の情報では、Resupply は疑わしい取引攻撃に遭い、約 950 万ドルの損失を被りました。

ChainCatcher のメッセージによると、Certik のデータによれば、6 月に Web3 分野は脆弱性の悪用、ハッキング、詐欺により約 1.983 億ドルの損失を被りました。この金額は 2024 年の月間損失額としては 2 番目に高いものです。さらに、130 万ドルがセキュリティ事件で返還されました。その中で、退出詐欺による損失は約 480 万ドル、フラッシュローンによる損失は約 2350 万ドル、脆弱性の悪用による損失は約 1.713 億ドルです。

ChainCatcher のメッセージ、CertiK が安全報告を発表しました。2023 年 8 月時点で、フラッシュローン攻撃、出口詐欺、脆弱性悪用による損失は 9.97 億ドルを超えています。その中で、フラッシュローン攻撃による損失は約 2.61 億ドル、出口詐欺による損失は 1.37 億ドルを超え、脆弱性悪用による損失は 5.96 億ドルを超えています。さらに、8 月の暗号通貨の安全損失は 4500 万ドルを超え、その中には Zunami Protocol 攻撃事件による 220 万ドルの損失、Exactly Protocol 脆弱性悪用事件による 730 万ドルの損失、PEPE 売却事件による 1320 万ドルの損失が含まれています。8 月の経済損失は依然として高いですが、先月の 4.86 億ドルの損失と比較すると、明らかな減少が見られます。

ChainCatcher のメッセージによると、PeckShield の統計によれば、2023 年 2 月に 200 件以上の脆弱性悪用事件が監視され、盗まれた金額は 3530 万ドルに達し、そのうち約 141 件の脆弱性悪用が 2 月 11 日に発生しました。中でも最大のセキュリティ事件は BonqDAO の脆弱性悪用で、損失は 1.2 億ドル、攻撃者の利益は約 200 万ドルでした。2023 年 2 月 28 日までに、93.5 万枚の ETH と 6000 枚の BNB が Tornado Cash に移転されました。（出典リンク）