SIR.trading の脆弱性は DeFi 攻撃の高度化を浮き彫りにしており、現在精査されている Ethereum の Dencun アップグレードに関連する脆弱性も含まれています。

分散型金融プロトコル SIR.trading が壊滅的な攻撃を受け、ロックされた総価値 (TVL) をすべて失い、創設者が残りの盗難資金の返還と引き換えに 10 万ドルの報奨金を公に提供することになりました。

この攻撃により、プラットフォームから約35万5000ドルが流出し、イーサリアムの最近のDencunアップグレードに関する新たな懸念が浮上しました。

3月31日、SIR.tradingの匿名の創設者であるXatarrer氏はハッカーに対してオンチェーン嘆願を行いました。

同氏は、この攻撃に使われた技術を認めつつ、壊滅的な経済的損失にもかかわらず、この攻撃を「ほとんど美しい」と評しました。

メッセージでは、攻撃者に脆弱性を発見した報酬として 10 万ドルを受け取るチャンスを提供し、残りを返還するよう要求していました。

Xatarrer氏は、SIR.tradingはベンチャーキャピタルが支援するプロジェクトではなく、友人や支援者から7万ドルの資金を得て4年かけて構築された草の根の取り組みであると強調しました。

同氏は、盗まれた資金がなければプラットフォームは存続できないと述べました。今のところ、攻撃者はこの嘆願に応じていません。

オンチェーンデータによると、盗まれた資産はすでに、取引の痕跡を隠蔽するように設計されたプライバシープロトコルであるレールガンを通じて送金されており、資金の回収はより困難になっています。

エクスプロイト: 一時ストレージの巧妙な操作

SIR.trading の悪用につながった脆弱性は、Dencun のアップグレードで導入された機能である Ethereum の一時ストレージに関連していました。

ブロックチェーンのセキュリティ専門家によって非常に洗練されていると説明されているこの攻撃は、SIR.trading の Vault 契約内の「uniswapV3SwapCallback」と呼ばれる機能を悪用したものです。

この脆弱性を分析したブロックチェーンセキュリティ企業Decurityによると、攻撃者は一時ストレージを利用して、契約内での取引の検証方法を操作したといいます。

正当な Uniswap プールだけがスワップを実行できるようにする代わりに、契約はハッカーが管理する偽の Uniswap プール アドレスを信頼するように騙されました。

これは、一時ストレージがトランザクションの終了後にのみリセットされ、攻撃者が実行中にセキュリティ パラメータを変更できるため可能になりました。

ブロックチェーン研究者のYi氏によるさらなる分析により、攻撃者がバニティアドレスをブルートフォース攻撃し、それが契約の予想されるパラメータと一致することを確認したことが明らかになりました。

これにより、SIR.trading の金庫からすべての資産が流出し、TVL 全体が消失しました。

ザタレル氏はこの攻撃の壊滅的な性質を認め、「プロトコルが受け取る可能性のある最悪のニュース」と呼びました。

彼は損失にもかかわらず、再建への決意を表明し、次にとるべきステップについて地域住民に意見を求めました。

DeFiエクスプロイトの増加傾向

SIR.trading の脆弱性は、分散型金融セクター内でセキュリティ侵害が増加するという広範な傾向の一部です。

SIR.tradingへの攻撃のわずか6日前には、分散型融資プロトコルAbracadabra.Moneyを狙った別の大規模な攻撃が発生し、1,300万ドルの損失が発生しました。

3 月 25 日に PeckShield によって検出された Abracadabra エクスプロイトは、特に GMX トークンを使用するプールを標的としていました。

攻撃者は、Abracadabra のスマート コントラクト インフラストラクチャの脆弱性を悪用して 6,260 ETH を流出させました。

これは、1月に649万ドルの損失が発生し、マジックインターネットマネー（MIM）ステーブルコインがデバッグされたことに続き、2024年のプラットフォームでの2回目の大規模な侵害となりました。

同様に、2024年2月には、暗号通貨セクターの損失は約15億3,000万ドルとなり、1月に報告された9,800万ドルの損失から1,500%という驚異的な増加となりました。

最大の損失は、北朝鮮のラザルス・グループによるものとされる、2月21日のバイビットのハッキングによって引き起こされました。

この攻撃により約14億ドルが流出し、史上最大の暗号通貨ハッキングの一つとなりました。

現状では、Xatarrer 氏はハッカーが懸賞金の申し出を受け入れるだろうと期待しているが、盗まれた資金の多くは決して回収できないかもしれないというのが現実です。