月次セキュリティレビュー：2024年2月

セキュリティ・アット・ア・グランス 👀

2024年2月、DeFiの脆弱性により約800万ドルの損失が発生しました。多数の悪意ある提案が検出されており、DAOにとって注意喚起となっています。さらに、Tornado Cashのフロントエンドで見つかったバックドアにより、悪意のあるアクターが3200 Ether以上を盗み出すことができました。

DeFiエクスプロイト

Senecaエクスプロイト事件

2月29日、EthereumとArbitrum上のSenecaがエクスプロイトに見舞われ、600万ドルの損失が発生しました。根本原因は任意のコール問題でした。DeFiユーザーは定期的に承認を確認し、注意を怠らないようにしましょう！これについてもっと読む。

Blueberryエクスプロイト事件

2月23日、Ethereum上のBlueberryがエクスプロイトに見舞われ、140万ドルの損失が発生しました。根本原因はトークン価格正規化における一貫性のないロジックの使用であり、価格ソースとその正規化方法との間に不一致がありました。coffeebabe_ethのMEVボットは、エクスプロイトをフロントランし、367 Etherを返還することに成功しました。これについてもっと読む。

DeezNutz_404エクスプロイト事件

2月22日、Ethereum上のDeezNutz_404がエクスプロイトされ、総損失額は約17万ドルと推定されています。根本原因は自己転送による計算問題でした。ERC404シリーズのトークンは、類似のエクスプロイトを複数経験しています。投資を行う際は注意してください。これについてもっと読む。

Particle Tradeエクスプロイト事件

2月15日、Ethereum上のParticle Tradeがエクスプロイトされ、約14万ドルの損失が発生しました。根本原因は検証されていないユーザー入力でした。これについてもっと読む。

CheckDot Protocol 悪意ある提案事件

2月1日、悪意のあるアクターがCheckdot Protocolに悪意のある提案を提出し、潜在的な損失額は12万ドルでした。Checkdotチームに通知した後、彼らは脅威の深刻度をクリティカルと認識し、修正を実装しました。

We thwarted a sneaky attack on @Checkdot_proto and kept users' assets safe. The team acknowledged the severity of the threat as critical and has implemented a fix.

Here's a breakdown of the incident.
— BlockSec Phalcon (@Phalcon_xyz) February 4, 2024

🚨 2月には複数の悪意ある提案（nounsbr、LeagueDAO、wearecultdaoなど）が検出されました。DAOsは提案攻撃のリスクに注意してください。

👉 上記のインシデントの攻撃トランザクション、根本原因、PoCは、セキュリティインシデントリストで確認できます。

バックドア

Tornado Cash フロントエンドバックドア事件

悪意のある開発者がTornado Cashのフロントエンドにバックドアを仕込み、預金者の認証情報と少なくとも3200 Etherの預金を盗みました。Tornado Cashが制裁を受けた後、プロジェクトはコミュニティガバナンスに移行しました。それ以来、プロジェクトは複数の提案攻撃の標的となっています。