Binanceのハッカーは、たった1回の取引で25億ドル相当を流出させるのに、わずか約15ドルしか支払わなかった――しかも、原因はEthereum自体の脆弱性ではない。
事実：Bloombergは11月6日、Blockaidの分析に基づき、その手口を詳しく報じた。10月29日20:20 UTCごろ、ハッカーはBinanceのホットウォレット14の正規の署名を使い、EIP-7702を介してそのウォレットの制御権を自分たちのコードに委譲した。EIP-7702は、2025年5月のPectraアップグレードで導入された機能で、ウォレットがスマートコントラクトに権限を与えられるようにするものだ。その権限を設定する費用は約15ドルだった。3分24秒後、1回の取引で167,464 ETH、約16億1,500万ドル相当のUSDT、その他約60種類のトークンが一掃され、総額は約25億ドルに達した。Ellipticによると、同じ委譲を通じて動かされた総額は約36億ドルに上る。権限はブロックチェーン上に存在するため、Binanceがホットウォレットのサービスを停止しても取り消すことはできず、委譲が取り消されたのは10月30日00:10 UTCだった。Binanceの広報担当者は、EIP-7702がハッキングで「重要な役割を果たした」と認めた。FBIは北朝鮮と関係のあるTraderTraitorグループによる攻撃だと認定したが、平壌は否定している。
私の意見：恐ろしいのは金額ではなく、そこから得られる教訓だ――オンチェーンの制御は、オフボタンひとつで停止できない。署名者の鍵が一度侵害されれば、委譲された権限は高速道路になる。ただし、誤解しないでほしい。BlockaidのCEOによれば、EIP-7702がなくても資金はおそらく盗まれていた。ただし、もっと時間がかかっただろう。つまり、これはEthereumの単一機能が「危険」だという話ではなく、ホットウォレットの鍵が攻撃者の手に渡ったという話だ。一般ユーザーへのメッセージはシンプルだ。見知らぬコントラクトへの承認や権限委譲は定期的に確認し、使っていなければ取り消すべきだ。
私が注目しているのは、Binanceが約束した完全な事後検証報告と、他の取引所もホットウォレットでのEIP-7702による権限委譲を制限し始めるかどうかだ。
皆さんは、この事件から取引所のセキュリティが学ぶべき最大の教訓は何だと思う？鍵、権限委譲、それとも検知？
これは私の分析であり、金融アドバイスではありません――常にDYOR（自分で調査）を。
#KeamananCrypto #Ethereum $ETH $USDT
事実：Bloombergは11月6日、Blockaidの分析に基づき、その手口を詳しく報じた。10月29日20:20 UTCごろ、ハッカーはBinanceのホットウォレット14の正規の署名を使い、EIP-7702を介してそのウォレットの制御権を自分たちのコードに委譲した。EIP-7702は、2025年5月のPectraアップグレードで導入された機能で、ウォレットがスマートコントラクトに権限を与えられるようにするものだ。その権限を設定する費用は約15ドルだった。3分24秒後、1回の取引で167,464 ETH、約16億1,500万ドル相当のUSDT、その他約60種類のトークンが一掃され、総額は約25億ドルに達した。Ellipticによると、同じ委譲を通じて動かされた総額は約36億ドルに上る。権限はブロックチェーン上に存在するため、Binanceがホットウォレットのサービスを停止しても取り消すことはできず、委譲が取り消されたのは10月30日00:10 UTCだった。Binanceの広報担当者は、EIP-7702がハッキングで「重要な役割を果たした」と認めた。FBIは北朝鮮と関係のあるTraderTraitorグループによる攻撃だと認定したが、平壌は否定している。
私の意見：恐ろしいのは金額ではなく、そこから得られる教訓だ――オンチェーンの制御は、オフボタンひとつで停止できない。署名者の鍵が一度侵害されれば、委譲された権限は高速道路になる。ただし、誤解しないでほしい。BlockaidのCEOによれば、EIP-7702がなくても資金はおそらく盗まれていた。ただし、もっと時間がかかっただろう。つまり、これはEthereumの単一機能が「危険」だという話ではなく、ホットウォレットの鍵が攻撃者の手に渡ったという話だ。一般ユーザーへのメッセージはシンプルだ。見知らぬコントラクトへの承認や権限委譲は定期的に確認し、使っていなければ取り消すべきだ。
私が注目しているのは、Binanceが約束した完全な事後検証報告と、他の取引所もホットウォレットでのEIP-7702による権限委譲を制限し始めるかどうかだ。
皆さんは、この事件から取引所のセキュリティが学ぶべき最大の教訓は何だと思う？鍵、権限委譲、それとも検知？
これは私の分析であり、金融アドバイスではありません――常にDYOR（自分で調査）を。
#KeamananCrypto #Ethereum $ETH $USDT