月次セキュリティレビュー：2024年2月

セキュリティの概要 👀

2024年2月、DeFiの悪用により約800万ドルの損失が発生しました。多数の悪意のある提案が検出されており、DAOにとって注意喚起となっています。さらに、Tornado Cashのフロントエンドで見つかったバックドアにより、悪意のあるアクターが3200イーサ以上を盗むことができました。

DeFiの悪用

Seneca 悪用インシデント

2月29日、EthereumおよびArbitrum上のSenecaが、600万ドルの損失につながる悪用に遭いました。根本原因は任意呼び出しの問題でした。DeFiユーザーは定期的に承認を確認し、警戒を怠らないでください！これについての詳細はこちら。

Blueberry 悪用インシデント

2月23日、Ethereum上のBlueberryが、140万ドルの損失につながる悪用に遭いました。根本原因はトークン価格正規化のための不整合なロジックの使用であり、価格ソースとその正規化方法との間に不一致がありました。coffeebabe_ethのMEVボットは悪用を首尾よくフロントランし、367イーサを返還しました。これについての詳細はこちら。

DeezNutz_404 悪用インシデント

2月22日、Ethereum上のDeezNutz_404が悪用に遭い、総損失額は約17万ドルと見積もられています。根本原因は自己転送による計算問題でした。ERC404トークンシリーズは、同様の悪用に複数回見舞われています。投資の際はご注意ください。これについての詳細はこちら。

Particle Trade 悪用インシデント

2月15日、Ethereum上のParticle Tradeが悪用に遭い、約14万ドルの損失が発生しました。根本原因は未検証のユーザー入力でした。これについての詳細はこちら。

CheckDot Protocol 悪意のある提案インシデント

2月1日、悪意のあるアクターがCheckdot Protocolに悪意のある提案を提出し、潜在的な損失額は12万ドルでした。Checkdotチームに通知した後、彼らは脅威の重大性をクリティカルと認め、修正を実装しました。

We thwarted a sneaky attack on @Checkdot_proto and kept users' assets safe. The team acknowledged the severity of the threat as critical and has implemented a fix.

Here's a breakdown of the incident.
— BlockSec Phalcon (@Phalcon_xyz) February 4, 2024

🚨 2月には複数の悪意のある提案（nounsbr, LeagueDAO, wearecultdaoなど）を検出しており、DAOの皆様に提案攻撃のリスクにご注意いただくよう改めてお願いいたします。

👉 上記インシデントの攻撃トランザクション、根本原因、PoCは、弊社のセキュリティインシデントリストでご覧いただけます。

バックドア

Tornado Cash フロントエンドバックドアインシデント

悪意のある開発者がTornado Cashのフロントエンドにバックドアを仕込み、預金者の認証情報を盗み、少なくとも3200イーサを預金から盗みました。Tornado Cashが制裁を受けた後、プロジェクトはコミュニティガバナンスに移行しました。それ以来、プロジェクトは複数の提案攻撃にさらされています。