#倫理的ハッカーがAptosの欠陥リスク（$70B）を発見

*倫理的ハッカーがAptosの欠陥を見つけ、数十億ドル規模の危険を提示*

倫理系セキュリティ企業 *CertiK* は、2023年12月に *Aptos上のWormholeブリッジ* の重大な欠陥を開示しました。これにより、数百万人が危険にさらされていた可能性があります。

*欠陥*
Aptos版のWormholeでは、`publish_event` 関数が誤って `public(friend)` + `entry` としてマークされていました。これにより、承認されたブリッジ用モジュールだけでなく、誰でも呼び出せる状態になっていました。

*リスク*
攻撃者は、トークン移転のように見える偽の「イベント」を偽造できました。これにより、ブリッジのEthereum側が、Aptos側で裏付けとなる実際のデポジットなしに、トークンのミントやアンロックを行ってしまう恐れがありました。
CertiKは、*最大$5M* がブリッジから流出していた可能性があると見積もっています。オンラインで見かける「$70B」という数字は、こうしたブリッジのエクスプロイトが信頼を損なえば間接的にリスクにさらされるであろうAptosエコシステムのTVL/価値を指している可能性が高く、直接の$70Bが盗まれたことを意味するものではないでしょう。

*修正*
1. 2023年12月5日にWormholeへ報告
2. Guardiansによるマルチシグ投票で約3時間でパッチ適用
3. 将来の被害を抑えるため、Aptos上でのレート制限を$5M/日から$1M/日に引き下げ
4. 事後のレトロスペクティブ監査で *資金の喪失はなかった*