北京時間12月14日午後5時40分、CertiKスカイネットの監視により、Nexus Mutualの創設者ヒュー・カープ氏の口座から総額37万のNXMトークンが未知の口座に送金された巨額の取引が発見された。
CertiK セキュリティ検証チームはすぐに調査と分析を開始し、この取引はヒュー・カープ氏のアカウントに対するハッキング攻撃であると考えました。
ちなみに全員分計算してみました
370,000NXM=833万米ドル
攻撃プロセス全体は次のとおりです。
攻撃プロセス全体は次のとおりです。
文章
0x09923e35f19687a524bbca7d42b92b6748534f25
トークンを取得するための攻撃の一部はすでにトランザクションを通過しています
0xfe2910c24e7bab5c96015fb1090aa52b4c0f80c5b5c685e4da1b85c5f648558a が 1inch.exchange で取引されました。
文章
0x4ddcc21c6de13b3cf472c8d4cdafd80593e0fc286c67ea144a76dbeddb7f3629
画像の説明
公式開示の詳細によると、攻撃者はヒュー・カープ氏のパーソナル・コンピュータの遠隔制御を取得した後、そのコンピュータで使用されているメタマスク・プラグインを改変し、図1のトランザクションに署名するように彼を誘導しました。このトランザクションは最終的に膨大な量のトークンを受信者のアカウント内の攻撃者。
既存の情報に基づいて、CertiK チームは、ヒューがメタマスクを毎日使用していたときに、攻撃者によって改変されたプラグインがこの膨大な量のトークンの転送リクエストを生成し、ヒューがハードウェア ウォレットでトランザクションに署名したのではないかと推測しました。
アプリケーションとしては、ブラウザ プラグインと通常の Web サイトのフロントエンド構成は似ており、すべて HTML と JavasScript で構築されています。ブラウザ プラグインのコードはユーザーのコンピュータに保存されます。
ハッカーがメタマスク プラグインをどのように変更したかについて、CertiK チームは次のような推測を行っています。
1. ハッカーは、Hugh Karp のパーソナル コンピュータを制御した後、リモート デスクトップ経由でブラウザを開き、変更されたメタマスク プラグインを直接インストールしました。
2. ハッカーは、Hugh Karp のパーソナル コンピュータ上でメタマスク プラグインのインストール パスを見つけ、その中のコードを変更し、変更が完了した後、変更されたプラグインをブラウザにロードしました。
3. ハッカーは、ブラウザに組み込まれているコマンド ライン ツールを使用して、ブラウザにインストールされているプラグインを変更します。
公式の詳細には、ヒュー・カープがハードウェアウォレットを使用していたと記載されていますが、それがどのハードウェアウォレットであるかは特定されていませんでした。
Metamask は上記 2 つのハードウェア ウォレットのみをサポートしているため、Trezor または Ledger のいずれかである必要があります。
ハードウェア ウォレットの場合、メタマスクのトランザクションはハードウェア ウォレットで確認され、ハードウェア ウォレットに保存されている秘密キーで署名される必要があります。
現在、上記2つのハードウェアウォレットは、ハードウェア上で取引を確認する際に、ハードウェア画面に送金受付アドレスが表示され、ユーザーの最終確認を行っております。
この攻撃では、ハッカーがハードウェア画面上の取引確認インターフェースに表示されるアドレスを変更することはできないはずであるため、ヒュー・カープ氏は攻撃の際、取引の対象がハッカーのアドレスであることに気付かなかったのではないかと推測されます。ハードウェアウォレットの最終確認。
図 2: Ledger がトランザクションを確認するときの画面表示
安全上のアドバイス
ブロックチェーン保険プラットフォームの創設者のアカウントが攻撃されたことは、保険の重要性を示しています。
ハッキング事件の高密度発生は警告です。
ブロックチェーンのネットワークの世界では、あなたが誰であり、どんな役割を担っていても、運が良ければハッカーにすり抜けられることはなく、セキュリティ事故による損失は誰にでも起こる可能性があります。
そして、たとえハードウェアウォレットを使っていたとしても、一生100%ミスをしないということは不可能です。
文章少し前にCertiKが公開した一連の記事【】保険の必要性を的確に解説。
この攻撃に基づいて、CertiK セキュリティ検証チームは次のセキュリティに関する推奨事項を提案します。
1. どのようなセキュリティ システムやオペレーティング環境でも、プログラムのセキュリティ検証だけでなく、製品全体のセキュリティを検証するための専門的な侵入テストも必要です。
文章
WeChat [certikchina] を検索して CertiK の公式 WeChat 公開アカウントをフォローし、公開アカウントの下部にあるダイアログ ボックスをクリックし、メッセージを残して無料の相談と見積もりを入手してください。
