イーサリアム信用取引プロジェクトが30万ドルのハッカー攻撃を受ける

2025年3月30日、イーサリアム上で運営されている信用取引プロジェクトがハッカー攻撃の標的となり、30万ドル以上の資産損失を引き起こしました。セキュリティチームはこの事件を徹底的に分析し、攻撃の詳細と原因を明らかにしました。

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

イベントの背景

攻撃者はSolidity 0.8.24バージョンで導入された瞬時ストレージ機能の1つの脆弱性を利用しました。瞬時ストレージは、新しいデータストレージの位置で、低コストで取引期間中に有効な一時的なストレージ方法を提供することを目的としています。しかし、この機能のこのプロジェクトにおける実装には欠陥があり、ハッカー攻撃の突破口となりました。

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

攻撃の原則

攻撃の核心は、トランザクションの期間中に瞬時ストレージ内のデータが有効であり続けることであり、各関数呼び出しの終了後にクリアされるのではありません。攻撃者はこの特性を巧みに利用し、慎重に設計されたトランザクションシーケンスを通じて、コントラクト内の権限チェックメカニズムを回避しました。

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

攻撃ステップ

1. 攻撃者は2つのカスタムトークンを作成し、あるDEXでこれら2つのトークンの流動性プールを作成します。
2. これらの2つのトークンを使用して、ターゲットプロジェクトに新しい信用取引市場を作成します。
3. 債務トークンを入金することでレバレッジトークンを発行し、同時に瞬時ストレージに特定の数値を残します。
4. 一致する値を持つ悪意のある契約を瞬時ストレージに作成します。
5. この悪意のあるコントラクトを使用して、ターゲットコントラクトのコールバック関数を呼び出し、権限チェックを回避します。
6. 最後に、ターゲットコントラクトから他の価値のあるトークンを直接抽出します。

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! 致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗

! [致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗](https://img-cdn.gateio.im/webp-social/moments-904133c007422770dd55372438c3d257.webp0192837465674839201

! [致命的な残留物:一時的なストレージによって引き起こされた300,000ドルのオンチェーン強盗])https://img-cdn.gateio.im/webp-social/moments-c2206fe20197a3835ddb92319314e4eb.webp(

損失状況

オンチェーン分析によると、攻撃者は約30万ドルの資産を盗むことに成功しました。これには次が含まれます：

• 17,814.8626ドルc
• 1.4085 WBTCの
• 119.871 ウェス

攻撃者はその後、すべての盗まれた資産をWETHに変換し、ある匿名化ツールに移動しました。

セキュリティに関するアドバイス

類似の攻撃を防ぐために、プロジェクト側は次のことを行うべきです：

1. 瞬時ストレージを使用した関数呼び出しが終了した後、即座にストレージの値をクリアします。
2. コントラクトコードの監査とセキュリティテストプロセスを強化する。
3. 新しく導入された言語機能を慎重に使用し、その潜在的なリスクを十分に理解してください。

この事件は再び私たちに警告します。ブロックチェーン技術が急速に発展する中で、セキュリティ問題は依然として継続的な課題です。プロジェクトの開発者は常に警戒を怠らず、ユーザー資産の安全を守るためにセキュリティプラクティスを継続的に更新する必要があります。