2026年4月29日、ウォレットが完璧に保護されていても、ユーザーの制御が及ばないエラーによって暗号資産が危険にさらされることを示すサイバー攻撃が発生しました……
標的となったのはSWEATです。これは、身体活動に報酬を与え、NEARブロックチェーン上で稼働するプロジェクト「Sweat Economy」に関連する暗号資産です。
攻撃者は約137億1,000万SWEATトークンを引き出すことに成功しました。当時公表された推定によると、その価値は約350万ドルに相当します。
驚くべきなのは、その手口です……
ウォレットに侵入する必要はありませんでした。コインを管理するプログラムを攻撃したのです。
理解するために、暗号資産を100枚サービスに送ったものの、不具合によってサービスが正しく受け取れなかったと想像してみてください。
特定の取引では、利用できなかったコインを自動的に返す仕組みがシステムに備わっています。これは、送金が完了しなかったことで資金が閉じ込められるのを防ぐために設計された、正当な機能です。
SWEATでは、この仕組みはスマートコントラクト、つまりブロックチェーン上でトークンのルールを実行するコンピュータープログラムの一部でした。
そして、そこに脆弱性がありました。
「ft_resolve_transfer」という返金処理を担う関数には、欠かせないチェックがありませんでした。実行できるのはコントラクト自身だけだと確認するチェックです。
お金を返すボタンはあるのに、誰に押す権限があるのかを適切に確認していない銀行システムのようなものです……
そこで……攻撃者は、その欠陥を悪用する別のスマートコントラクトを用意しました。
まず空の応答を生成し、脆弱なプログラムに、送られたトークンが使われなかったかのように解釈させました。
その後、返金先として自分が管理するアドレスを指定し、返金関数を直接呼び出しました。
コントラクトは、実際には正当ではない見せかけの返金を実行してしまいました……
その結果は？被害者の残高からトークンが引き出され、攻撃者のアドレスに送られました。
すべてブロックチェーン上で実行される取引を通じて行われ、被害者が操作する必要はありませんでした。
攻撃は驚くほど速く行われました。
インシデントを追跡した調査員によると、複数の重要なアカウントが約30秒で空にされました。
セキュリティチームは、影響を受けたコントラクトを一時停止し、攻撃者がトークンを交換しようとしていたプラットフォームと連携して対策を講じました。
MEXCは攻撃者に関連するアカウントを凍結し、Rhea FinanceはSWEATの取引を一時停止しました。
その後、セキュリティ修正が適用され、プロジェクトはユーザーの外部アカウント残高が復元されたことを確認しました……
しかし、調査によってさらに懸念すべき事実が明らかになりました。
デジタル資産セキュリティを専門とするFireblocksは取引を分析し、約20分で技術的な原因を特定しました。
その後、NEARネットワーク上の他のコントラクトにも同じエラーがないか調査しました。
そして、何百万人もの人々が利用する別のトークン、HOTでも見つけました。
調査員たちは関係者に通知し、同等の悪用が記録される前に、関係者は同日中に脆弱性を修正しました。
🧠 そして、本当に深刻なのはここです。
ユーザーの資金を守るために作られた機能が、資金を盗み出す手段になってしまいました。
暗号技術が破られたからではありません。実行権限を持つべきではない人物からの指示を、プログラムが受け入れてしまったのです……
安全なシステムと、何百万ドルもの資金が危険にさらされる状況。その隔たりを生むのは、盗まれたパスワードではないこともあります。誰かが実装し忘れたセキュリティチェックなのです……
出典：
https://www.fireblocks.com/blog/near-zero-day-sweat-hot-token-exploit
#SWEAT #NEAR #SweatEconomy #CryptoSecurity #Blockchain