約130万ドル——わずか2時間足らずで、1,404個のウォレットが空に。

北京時間10月18日早朝、「シードフレーズ」のランダム性が不十分な古いウォレットが狙われた。旧型のApple製デバイスやSafari、旧バージョンのアプリで生成されたニーモニックフレーズは、エントロピーの源が弱く、事前に推測される可能性があった。攻撃者はこうした予測可能なシードを利用し、北京時間18日午前7時42分ごろから9時26分ごろまでの2時間足らずで、約2兆9,400億枚のQUを奪い取った。当時の価格で約130万ドル相当だ。

さらにドラマチックだったのは、その後の展開だ。ネットワークのバリデーターノードが緊急停止し、盗まれたコインの約87％はチェーン上で凍結され、動かせなくなった。残りの約13％は取引所に送られたが、受取口座もすぐに凍結された。現時点で、攻撃者はほぼ1円も現金化できていない。プロトコル自体が突破されたわけではなく、問題が起きたのはウォレットのシード生成だ。チームはすでにパッチを公開しており、被害者への補償はバリデーターの投票を待つことになる。

これが暗号資産界の日常だ。資産は自分のウォレットに入れておけば安全だと思っていても、実は古いデバイスで生成されたランダム性の低いシードこそが、本当のバックドアだったりする。「チェーンは無事でも、ウォレットがやられる」——この件、どう思う？コメント欄で話そう。