Web3史上最大のハッキング事件の分析

2025年2月21日、ある有名な取引プラットフォームのイーサリアムのコールドウォレットが重大なセキュリティ攻撃を受けました。攻撃者は巧妙に設計されたフィッシング手法を用いて、マルチシグウォレットの署名者を悪意のある取引に署名させ、約146億ドルの暗号資産が未知のアドレスに移転される事態を引き起こしました。

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?

攻撃プロセスの振り返り

攻撃者の主なステップは以下の通りです：

1. 資金移転のバックドアを含む悪意のある契約を事前に展開する。
2. マルチシグウォレットのインターフェースを改ざんし、署名者が見る取引情報と実際にハードウェアウォレットに送信されるデータが一致しないようにする。
3. 偽のインターフェースを通じて3つの有効な署名を取得し、マルチシグウォレットの実装契約を悪意のあるバージョンに置き換えます。
4. コールドウォレットを管理し、大量の資産を移動する。

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?

調査結果

委託を受けて証拠調査を行ったセキュリティ会社Sygniaが初期報告書を発表しました。主な発見は以下の通りです：

• マルチシグウォレットで使用されるAWS S3バケットに注入された悪意のあるJavaScriptコードが発見されました。
• コード分析は、その主な目的が署名プロセス中に取引内容を改ざんすることにあることを示しています。
• 悪意のあるコードは特定のアクティベーション条件を持ち、特定の契約アドレスに対してのみ有効です。
• 攻撃が完了した後すぐに、更新されたバージョンのJavaScriptリソースがアップロードされ、悪意のあるコードが削除されました。
• 初期の証拠は攻撃がマルチシグウォレットのAWSインフラストラクチャに起因することを示しています。
• 現在のところ、取引プラットフォーム自体のインフラが侵害された兆候は見つかっていません。

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?

セキュリティ脆弱性分析

今回の事件は複数のレベルでのセキュリティ問題を暴露しました：

1. クラウドストレージの安全性：AWS S3バケットが改ざんされており、クラウドサービスのアクセス制御に脆弱性が存在することを示しています。

2. フロントエンドのセキュリティ検証が不十分：マルチシグウォレットのフロントエンドで完全なサブリソース整合性(SRI)検証が実施されていれば、JavaScriptが改ざんされてもこのような攻撃を回避できる可能性があります。

3. ハードウェアウォレットの限界：複雑な取引を処理する際、ハードウェアウォレットはマルチシグネチャウォレットの詳細な取引データを完全に解析して表示できないため、署名者は"盲署名"を行うことになります。

4. フロントエンドへの過剰な信頼：取引プラットフォームがマルチシグウォレットのフロントエンドに過剰な信頼を寄せ、実際の取引内容の二重確認を無視した。

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?

セキュリティの提案

類似の攻撃を防ぐためには、以下の対策を講じることができます：

1. EIP-712構造化署名検証を実装します。
   • フロントエンドで検証可能なデータを生成
   • スマートコントラクトの署名を検証し、パラメータの改ざんが発生した場合、取引が自動的にロールバックされることを保証します。

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?

2. ハードウェアウォレットのファームウェアをアップグレードし、より高度なセマンティック解析をサポートします:
   • 複雑な取引の解析能力を向上させる
   • チェーン上で強制的なセマンティックマッチングを実施する

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?

3. クラウドサービスのセキュリティを強化する：

   • AWSなどのクラウドサービスへのアクセス権を厳格に管理する
   • 重要なリソースの変更に関する定期監査と監視

4. マルチバリデーションメカニズム：

   • 重要な操作にマルチパーティ検証を導入
   • チェーン上とチェーン外のデータを利用して取引内容をクロス検証する

5. 継続的なセキュリティ監査：

   • 定期的に包括的なセキュリティ評価を行う
   • 先進的なAI支援ツールを使用してスマートコントラクトコード監査を行う

まとめ

Web3分野のセキュリティの課題はますます複雑になっており、デバイスのセキュリティ、取引の検証、リスク管理メカニズムなど、複数のレベルで防御能力を全体的に向上させる必要があります。フロントエンド開発者は、DAppのアクセス、ウォレット接続、メッセージ署名、取引署名などの各プロセスを厳密に検証する必要があります。全方位のセキュリティ防線を構築することで、オープンなWeb3の世界で各取引の価値と信頼を真に守ることができます。

! Web3史上最大のハッキング窃盗はフロントエンド開発の鍋ですか?