人類プロトコルは、従業員のノートPCが侵害され、イーサリアムおよびBNBチェーン上のブリッジ管理に紐づく鍵が露出した後、攻撃者がHトークンで3,600万ドル超を盗んだと明らかにした。6つのGnosis Safeのオーナー鍵のうち3つが侵害され、攻撃者はブリッジ契約を悪意あるバージョンにアップグレードするための支配権を得た。イーサリアムでは攻撃者が約1億4,120万Hトークンを流出させ、BNBチェーンでは、無制限のトークン発行機能を追加した後、200百万Hトークンを自分たちのウォレットに直接鋳造した。
攻撃者がブリッジ契約を支配するために3つのGnosis Safe鍵を侵害
インシデントの更新として、人類プロトコルは攻撃がイーサリアムとBNBチェーンの両方にまたがるHトークンに影響したと述べた。6つのGnosis Safeオーナー鍵のうち3つが侵害され、攻撃者はブリッジ管理を乗っ取るのに十分な制御を得た。支配を得ると、彼らはブリッジ契約を悪意あるバージョンへとアップグレードした。
イーサリアムでは、攻撃者が約1億4,120万Hトークンを流出させた。BNBチェーンでは、無制限のトークン作成を可能にする関数を追加した後、200百万Hトークンを自分たちのウォレットに直接鋳造した。人類の創設者Terence Kwokは、このプロジェクトは4人の個人にまたがるマルチシグネチャによる管理を使っているが、セットアップ中に一部の鍵が露出した可能性があると述べた。「何が起きたのかというと、いくつかの鍵が誤って侵害されたデバイスにバックアップされていたのだと思います」とKwokは語った。
ノートPCのバックアップがセットアップ中に複数の署名鍵を露出
Kwokは、人類は「大半のトークン・トレジャリーに対してライセンスされたカストディアン」を使い、運用トレジャリーにはMPCを使っていると述べた。しかし同時に、彼は「特定の契約については、マルチシグの鍵を1か所で設定してから分散させ、その結果、一部の鍵が侵害されたデバイスにバックアップされてしまった」とも語った。
この違いは重要だ。トレジャリーの保管や運用上の統制は強固に見えるかもしれないが、契約のアップグレード権限、ミント権限、または緊急時の統制が露出した鍵に依存している場合、ブリッジ管理は脆弱なままになりうる。このケースでは、攻撃者は既存の資産を動かしただけではなく、契約自体を変更し、1つのチェーンで新たなトークン供給を作り出した。
ブロックチェーン調査担当者が最初にマーケットメイカーの動きを疑った
Hトークンは、人類が秘密鍵の侵害を開示した後、85％超下落した。この崩落は、今後のアンロック前に、コミュニティの一部が「攻撃が純粋に外部からのものなのか、それとも異常なトークン活動に関連しているのか」疑問を呈していたこともあり、ブロックチェーン調査担当者の注目を集めた。
ブロックチェーン調査担当者ZachXBTは当初、人類のマーケットメイカーおよび店頭（OTC）活動がエクスプロイトと結びついているのではないかと疑った。彼はその後、さらなる分析の結果、マーケットメイカーとOTC活動は秘密鍵の侵害とは無関係に見えたと述べた。
Cyversのシニア・セキュリティ運用リードHakan Unalは、オンチェーンの挙動は、正当な侵害と段階的に行われたインシデントでは最初は似て見えることがあると語った。いずれのケースでも攻撃者は正当な管理者権限を持っているからだ。「それらを分けるのは周辺の挙動です」とUnalは言った。「本当の侵害では、通常はスピードと即興性が見られます。資金が新しいウォレットに急いで送られる、悪い価格でのスワップ、ミキサーの使用、そしてインサイダーのタイミングがない、という具合です。」
Unalによれば、段階的なインシデントでは、アンロックやベスティングの近くでの不審なタイミング、集中した供給、秩序だった移動、あるいは最終的にチームに紐づくアドレスやマーケットメイカーへと戻っていく収益などが示される可能性がある。「現時点では証拠が混在しているので、疑問は開いたままです」と彼は付け加えた。
Allium Labsの調査リードElton Shehdulaは、このエクスプロイトのオンチェーン上のパターンは、単独の機会狙いではなく、計画され連携された作戦の可能性を示していたと述べた。彼によると、ウォレットは攻撃の数週間前に取引所とミキサーから資金提供され、ミント権限は攻撃の数日前に「事前に稼働状態（ウォームアップ）」されており、売り払いは2つのチェーンで同時に起きたという。Shehdulaは、その準備は「インサイダーまたは外部の関係者」のいずれかが、侵害された鍵をしばらく静かに保持していたことと整合していたと述べた。
人類プロトコルはブリッジの入出金を停止
人類は、影響を受けたブリッジへの入金と出金を停止し、損害を減らし、回復オプションを見直すために取引所や関連当事者と協力していると述べた。Kwokは、侵害が開示された後、ユーザーにブリッジや流動性プールとやり取りしないよう警告した。
FAQ
攻撃者はどうやって人類プロトコルから3,600万ドルを盗んだのですか？
攻撃者は従業員のノートPCを通じて6つのGnosis Safeオーナー鍵のうち3つを侵害し、イーサリアムとBNBチェーン上でブリッジ管理を掌握した。彼らはブリッジ契約を悪意あるバージョンにアップグレードし、イーサリアムで1億4,120万Hトークンを流出させ、BNBチェーンで2億Hトークンを鋳造した。
なぜ1台の侵害されたノートPCがプロトコル規模の危機につながったのですか？
人類の創設者Terence Kwokは、いくつかのマルチシグ鍵が1か所で設定され、その後分散されたため、鍵が誤って侵害されたデバイスにバックアップされてしまったと述べた。これにより、攻撃者はブリッジのアップグレード権とミント権限をコントロールでき、契約を変更して新しいトークン供給を作り出せるようになった。
攻撃後、人類プロトコルはどのような行動を取りましたか？
人類は影響を受けたブリッジへの入金と出金を停止し、損害を減らし、回復オプションを見直すために取引所や関連当事者と協力していると述べた。プロトコルは、侵害が開示された後、ユーザーにブリッジまたは流動性プールとやり取りしないよう警告した。
