ピュティアが再入攻撃を受ける

ブロックチェーンセキュリティ企業Quill Auditsの報告によると、分散型金融プロトコルPythia Financeは9月3日、再入攻撃により5万3000ドルを流出した。Pythiaは、人工知能を使って資金を管理することを目的としたアルゴリズムステーブルコインプロジェクトである。

攻撃者は報酬請求機能を繰り返し呼び出しましたが、呼び出しごとに報酬残高が更新されないようにしたため、受け取る権利のある金額よりも多くの報酬を受け取ることができました。

報告書によると、Pythia は報酬が分配される際にトークンの安全な転送関数を呼び出すため、攻撃者はこの関数を繰り返し、立て続けに呼び出すことができた。そのため、悪意のあるトークン契約が Pythia を呼び戻し、Pythia が再びそれを呼び戻すことになり、連鎖反応を起こしてプロトコルの資金を枯渇させる可能性がある。

Quill Audits の Pythia の部分監査レポートには、未解決のセキュリティ問題がまったくないことが示されており、このエクスプロイトのさらなる使用を防ぐためにチームが契約をアップグレードした可能性があることを示唆しています。

再入攻撃は、攻撃者がコードを完全に実行させずに関数を繰り返し呼び出す攻撃であり、スマート コントラクトのエクスプロイトの最も一般的なタイプの 1 つです。

Zyxel の重大な脆弱性

9月4日、ネットワークハードウェアメーカーのZyxelは、一部のネットワークデバイスに重大な脆弱性があることを公表した。この脆弱性により、攻撃者はユーザーのルーターやアクセスポイント上でコードを実行し、ハッカーがユーザーのデバイスにアクセスする可能性がある。

開示内容によると、この脆弱性は、複数の異なるファームウェア バージョンの CGI プログラムにおけるパラメータ ホスト内の特殊要素の不適切な無効化の結果です。この不適切な無効化により、これらのファームウェア バージョンでは、認証されていない攻撃者が細工した Cookie を脆弱なデバイスに送信して OS コマンドを実行できる可能性があります。

暗号通貨ウォレットのユーザーは、ホームネットワークへの潜在的な攻撃に特に注意する必要があります。攻撃者がユーザーのホームネットワークにアクセスした場合、このアクセスを使用して、DNS スプーフィングによってユーザーのトラフィックをリダイレクトしたり、ネットワーク経由で送信される暗号化されていないデータを表示したり、ディープ パケット インスペクションを使用して暗号化されたデータを復号化したりできます。取得されたデータは、ソーシャル エンジニアリング攻撃に使用され、ユーザーにトランザクションを承認させたり、秘密鍵を共有させたりする可能性があります。

Zyxel は、影響を受ける可能性のあるデバイスのリストを公開しており、これには NWA50AX PRO、NWA90AX、WAC500 などのアクセス ポイント、および USG LITE 60AX ルーターが含まれています。製造元は、これらのデバイスのユーザーに対してファームウェアをアップグレードするようアドバイスしています。

ペンピーの悪用者が偽のペンドルマーケットを作った

ブロックチェーンセキュリティ企業Zokyoの9月4日のレポートによると、2,700万ドルのPenpieエクスプロイトは、どのユーザーでもPendleマーケットを作成できる欠陥によって可能になったという。レポートによると、プロトコルの以前のバージョンはZokyoによって監査されたが、当時は欠陥は含まれていなかったという。

報告書によると、Penpie には、新しいプール アドレスと Pendle Market を登録するために使用できる registerPenpiePool という関数が含まれています。悪意のある市場の登録を防ぐために、Pendle Market が Pendle Finances ファクトリー コントラクトにすでにリストされているかどうかを確認する修飾子が含まれています。このファクトリー コントラクトにリストされていない場合は、登録できません。ただし、ファクトリー コントラクトで createNewMarket 関数を呼び出すことで、どのユーザーでも自分の市場をファクトリー コントラクトにリストすることができます。報告書によると、これは基本的に、どのユーザーでも Pendle Market を作成して登録できることを意味します。

攻撃者はこの脆弱性を悪用して偽の Pendle マーケットとプールを作成し、貴重な Pendle トークンを報酬として提供するように構成しました。

Pendle Finance createNewMarket 関数。出典: Zokyo。

このプロトコルには再入欠陥も含まれており、他の残高が更新される前に、どのマーケットでもトークンを繰り返しデポジットできるようになってしまいました。攻撃者はデポジット関数を何度も呼び出し、獲得できる報酬を人為的に膨らませました。その後、デポジットを引き出し、報酬を請求し、プロトコルから 2,700 万ドル以上を流出させました。

報告書によると、Zokyo が監査したバージョンには再入性欠陥が存在していた。しかし、そのバージョンでは、プロトコル チームだけが新しいプールとマーケットを登録できたはずであり、外部の攻撃者がそれを利用するのを防ぐことができたはずだった。報告書には次のように記されている。

batchHarvestMarketRewards(…) メソッドで受信された _market パラメータは、Zokyo によって監査された以前のバージョンのコードのように悪意のあるものではないと予想されていました。プールを登録できるのは所有者 (マルチシグ) のみです。

9月3日に公開された別のレポートでは、Penpieチームは、Zokyoが監査を実施してから約1年後に許可なしのプール登録を導入したと主張している。当時、同チームはセキュリティ会社AstraSecを雇って新しい登録システムの監査を行った。しかし、この監査の対象は新しい契約のみだった。このエクスプロイトは、2つの異なるチームが監査した2つの異なる契約間の相互作用から生じたため、どちらのチームも脆弱性を捉えることができなかった。Penpieは、今後はプロトコル全体の定期的な監査を行い、このような事件が二度と起こらないようにすると主張している。

Penpie は、Pendle Finance のユーザーに収益の増加を提供することを目的とした分散型金融プロトコルです。これに対するエクスプロイトは 9 月 3 日に発生しました。