手数料15ドルで、25億ドルを奪う 🦖
10月29日 UTC 20時20分ごろ、ハッカーは約15ドルの手数料で、イーサリアム上のバイナンスのホットウォレットに代理権限を設定した
📢 ⏰ 消息群里第一时间说
その3分半後、同じ権限を使って約25億ドルが一度に送金された。これは総額63億ドルの盗難事件の40％にあたる
本当に背筋が凍るのは、この後だ
資金が送金された時、プラットフォームはすでに侵入を検知し、出金も停止していた
それでも、オンチェーンでは何もできなかった 💥
ブルームバーグの今回の検証記事が、その一部始終を明らかにした
狙われたのは、バイナンスが「Binance 14」と呼ぶホットウォレット。オンライン上のレジのようなもので、常時、大量のイーサとステーブルコイン、数十種類のトークンを保管している
資金を一つずつ送れば、そのたびにリスク管理システムに止められる可能性がある。そこでハッカーは近道を選んだ
その近道はEIP 7702と呼ばれ、2025年5月に導入された
本来はウォレットをより便利にするためのもので、ウォレットがコードに操作を委任でき、複数の操作をまとめて一度に実行できるようにする
セキュリティ企業Blockaidのオンチェーン分析によると、ハッカーはまず約15ドルを支払い、このコードにウォレットの代理として行動する資格を与えた
その取引自体は資金を一切動かしていない。以後、このウォレットの操作をそのコードが実行できると、イーサリアムに伝えただけだ
権限が有効になると、資金の一掃はわずか1件の取引で済んだ
イーサ16万7464枚に加え、60種類以上のトークン。そのうち最大のものは16億ドル相当のUSDTだった
ブロックチェーン分析企業Ellipticの集計によると、同じ権限はその後も繰り返し使われ、追加の8億2300万ドルと4回の追加入金の引き抜きを含め、累計約36億ドルが送金された ⚠️
致命的なのは、この権限がプラットフォームのサーバーではなく、ブロックチェーン上に記録されていたことだ
出金を停止しても、ホットウォレットを止めても、その権限は取り消せない。しかも入金経路からはまだ資金がこのアドレスに流れ込んでおり、攻撃者に弾薬を補給し続けるような状態だった
バイナンスの広報担当者はブルームバーグに対し、EIP 7702が事件で重要な役割を果たしたと認め、影響を受けた委任権限を取り消し、該当するウォレットのインフラを再構築し、署名と監視の仕組みを更新したと説明した。ユーザーの資金は安全で、損失はプラットフォームが負担するという
私の見方では、この事件では最初から最後まで秘密鍵には手がつけられていない
盗まれたのはパスワードではなく、権限の境界だ
ウォレットはますます銀行アプリのようになり、ワンタップで付与できる権限もどんどん大きくなっている。ユーザーにはそのコードの内容も、権限が取り消されているかどうかも見えない 🔑
以前、みんなが恐れていたのはシードフレーズの流出だった
今、気をつけるべきなのは、自分が何に署名したかだ
一般ユーザーができることは、定期的にウォレットの権限履歴を確認し、使っていない委任権限を取り消すこと。特に、一度しか利用していないDAppには注意したい
コメント欄で教えてください。最後にウォレットの権限を確認したのはいつですか？
毎日、暗号資産のセキュリティと規制の注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背後にある仕組みやチャンスもわかりやすく解説します 👀🚀
プロフィール画像をクリックしてライブ配信を見る
10月29日 UTC 20時20分ごろ、ハッカーは約15ドルの手数料で、イーサリアム上のバイナンスのホットウォレットに代理権限を設定した
📢 ⏰ 消息群里第一时间说
その3分半後、同じ権限を使って約25億ドルが一度に送金された。これは総額63億ドルの盗難事件の40％にあたる
本当に背筋が凍るのは、この後だ
資金が送金された時、プラットフォームはすでに侵入を検知し、出金も停止していた
それでも、オンチェーンでは何もできなかった 💥
ブルームバーグの今回の検証記事が、その一部始終を明らかにした
狙われたのは、バイナンスが「Binance 14」と呼ぶホットウォレット。オンライン上のレジのようなもので、常時、大量のイーサとステーブルコイン、数十種類のトークンを保管している
資金を一つずつ送れば、そのたびにリスク管理システムに止められる可能性がある。そこでハッカーは近道を選んだ
その近道はEIP 7702と呼ばれ、2025年5月に導入された
本来はウォレットをより便利にするためのもので、ウォレットがコードに操作を委任でき、複数の操作をまとめて一度に実行できるようにする
セキュリティ企業Blockaidのオンチェーン分析によると、ハッカーはまず約15ドルを支払い、このコードにウォレットの代理として行動する資格を与えた
その取引自体は資金を一切動かしていない。以後、このウォレットの操作をそのコードが実行できると、イーサリアムに伝えただけだ
権限が有効になると、資金の一掃はわずか1件の取引で済んだ
イーサ16万7464枚に加え、60種類以上のトークン。そのうち最大のものは16億ドル相当のUSDTだった
ブロックチェーン分析企業Ellipticの集計によると、同じ権限はその後も繰り返し使われ、追加の8億2300万ドルと4回の追加入金の引き抜きを含め、累計約36億ドルが送金された ⚠️
致命的なのは、この権限がプラットフォームのサーバーではなく、ブロックチェーン上に記録されていたことだ
出金を停止しても、ホットウォレットを止めても、その権限は取り消せない。しかも入金経路からはまだ資金がこのアドレスに流れ込んでおり、攻撃者に弾薬を補給し続けるような状態だった
バイナンスの広報担当者はブルームバーグに対し、EIP 7702が事件で重要な役割を果たしたと認め、影響を受けた委任権限を取り消し、該当するウォレットのインフラを再構築し、署名と監視の仕組みを更新したと説明した。ユーザーの資金は安全で、損失はプラットフォームが負担するという
私の見方では、この事件では最初から最後まで秘密鍵には手がつけられていない
盗まれたのはパスワードではなく、権限の境界だ
ウォレットはますます銀行アプリのようになり、ワンタップで付与できる権限もどんどん大きくなっている。ユーザーにはそのコードの内容も、権限が取り消されているかどうかも見えない 🔑
以前、みんなが恐れていたのはシードフレーズの流出だった
今、気をつけるべきなのは、自分が何に署名したかだ
一般ユーザーができることは、定期的にウォレットの権限履歴を確認し、使っていない委任権限を取り消すこと。特に、一度しか利用していないDAppには注意したい
コメント欄で教えてください。最後にウォレットの権限を確認したのはいつですか？
毎日、暗号資産のセキュリティと規制の注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背後にある仕組みやチャンスもわかりやすく解説します 👀🚀
プロフィール画像をクリックしてライブ配信を見る
