2024年のWeb3セキュリティインシデントのレビュー:トップ10の攻撃事例の分析

2024年、ブロックチェーン技術の継続的な革新とエコシステムの拡大に伴い、Web3分野はますます厳しいセキュリティの課題に直面しています。データプラットフォームの統計によると、年末までにWeb3業界はハッカー攻撃、フィッシング詐欺、プロジェクト側の悪意のある撤退などの理由で合計2491百万ドルの損失を被りました。

これらの事件は、プライベートキー管理やスマートコントラクトといった技術的な欠陥を暴露するだけでなく、ソーシャルエンジニアリング攻撃や内部管理といった側面での潜在的リスクを浮き彫りにしました。本記事では、2024年のWeb3分野における最も影響力のある10大セキュリティ事件を振り返り、業界がそこから経験を学び、今後のセキュリティ脅威により良く対処できることを期待しています。

! 2024年に最も影響力のあるWeb3攻撃トップ10のインベントリ

1. DMMビットコイン：秘密鍵の漏洩による3.04億ドルの損失

2024年5月31日、日本の有名な暗号通貨取引所DMM Bitcoinが重大なセキュリティ事故に見舞われました。攻撃者は漏洩した秘密鍵を利用して、3億ドル以上のビットコインを直接移転し、盗まれた資金を10以上の異なるアドレスに迅速に分散させました。この事件は、同取引所の秘密鍵管理および多重セキュリティ対策における重大な欠陥を暴露しました。

取引所は、オンチェーンモニタリングや資金の凍結などの方法でハッカーを追跡しようとしましたが、盗まれたビットコインが迅速に分散移転され、ミキシングツールを通じて洗浄されたため、回収作業は大きな課題に直面しています。年末には、日本の警察が調査を行い、この攻撃事件は北朝鮮のハッカー団体ラザルスグループによって実行された疑いがあると認定しました。

2. PlayDapp:秘密鍵の漏洩により2億9000万ドルの損失

2024年2月9日、PlayDappは重大なセキュリティ事件に見舞われました。ハッカーは秘密鍵を盗むことによって、20億枚のPLAトークンを成功裏に鋳造し、初期価値は3650万ドルでした。プロジェクト側とハッカーの交渉が失敗したため、攻撃者は短時間でさらに159億枚のPLAトークンを鋳造し、その価値は2.539億ドルに達しました。

一部の盗まれたトークンが取引プラットフォームに流入した後、PlayDappはPLA契約の運営を一時停止し、トークンを新しいPDA契約に移行せざるを得ませんでした。この事件は、ブロックチェーンプロジェクトにおける秘密鍵の保護と緊急対応メカニズムの不足を浮き彫りにしました。

3. WazirX：ネットワーク攻撃とフィッシングによる2.35億ドルの損失

2024年7月18日、インド最大の暗号通貨取引所WazirXのSafe Walletマルチシグウォレットが精密攻撃を受けました。攻撃者はソーシャルエンジニアリング手法を用いてマルチシグ署名者に契約アップグレード取引を承認させ、その後アップグレードされた契約の権限を利用してウォレット内の資産を全て移転しました。

この事件は、マルチシグウォレットの権限管理の設定と操作の透明性における潜在的なリスクを暴露し、同時に業界内でのプロジェクト内部のリスク管理とセキュリティメカニズムに対する深い反省を引き起こしました。

4. Gala Games：アクセス制御の脆弱性により2.16億ドルの損失

2024年5月20日、Gala Gamesの特権アドレスがハッカーによって攻撃されました。攻撃者はトークン契約のmint関数を呼び出すことで、一度に50億GALAトークンを鋳造しました。その後、ハッカーはこれらの新しく鋳造されたトークンを複数回に分けてETHに交換し、直接的に2.16億ドルの損失を引き起こしました。

Gala Gamesチームは事件発生後、迅速にブラックリスト機能を有効にし、一部のハッカーアカウントをブロックし、法的手段を通じて一部の損失を回収しました。この事件は、契約の権限管理の重要性を浮き彫りにしています。

5. クリス・ラーセン：秘密鍵の漏洩により1.12億ドルのXRPが盗まれた

2024年1月31日、Rippleの共同創設者Chris Larsenの4つの個人ウォレットがハッキングされ、1.12億ドル相当のXRPが盗まれました。これらのウォレットは、ハードウェアデバイスによる二重認証保護が不足していたため、攻撃の標的となったと考えられています。

事件発生後、ある取引プラットフォームは420万ドル相当のXRPを無事に凍結し、Larsenが盗まれた資産を追跡する手助けをしました。しかし、ほとんどの資金はすでに分散型取引所やミキシングサービスを通じて洗浄されており、回収は非常に困難です。

! 2024年に最も影響力のあるWeb3攻撃トップ10のインベントリ

6. マンチャブルズ：社会工学的攻撃による6250万ドルの損失

2024年3月26日、Blastに基づくWeb3ゲームプラットフォームMunchablesは、珍しい内部浸透攻撃に遭遇しました。攻撃者はブロックチェーン開発者に偽装し、長期間潜伏することでコアコードと敏感なキーを取得しました。

攻撃によって巨額の損失が出たにもかかわらず、コミュニティとチームの圧力の下で、ハッカーは最終的に盗まれた資金をすべて返還しました。この事件は、特に第三者の開発に依存しているブロックチェーンプロジェクトにとって、サプライチェーンの安全性の重要性を浮き彫りにしています。

7. BtcTurk:秘密鍵の漏洩で5500万ドル

2024年6月22日、トルコ最大の暗号通貨取引所BtcTurkが秘密鍵漏洩攻撃に遭い、5500万ドル以上の暗号資産が損失しました。ある取引プラットフォームの協力により、530万ドルの盗まれた資金が無事に凍結されましたが、他の資産はまだ回収されていません。この事件は、中央集権型取引所の秘密鍵管理能力に対する市場の懸念をさらに深めました。

8. Radiant Capital：マルチシグウォレットの脆弱性により5300万ドルの損失

2024年10月17日、Radiant Capitalのマルチシグウォレットがハッキングされました。低いハードルの3/11署名検証方式を採用していたため、ハッカーは3人の署名者の秘密鍵を掌握し、オフチェーン署名を行い、ウォレットコントラクトの所有権を悪意のあるアドレスに移転させることに成功し、最終的に5300万ドルが盗まれました。

注意すべきは、Radiant Capitalが今回の攻撃の前に契約の脆弱性により450万ドル、1900以上のETHを盗まれたことです。この一連の出来事は、Web3プロジェクトがセキュリティ意識と防御能力を高める必要があることを浮き彫りにしています。

! 2024年に最も影響力のあるWeb3攻撃トップ10のインベントリ

9. Hedgey Finance:契約の脆弱性により4,470万ドルの損失

2024年4月19日、Hedgey Financeは複数のオンチェーン契約に対する攻撃を受けました。ハッカーはそのClaimCampaigns契約の承認の脆弱性を利用して、イーサリアムとArbitrumの2つのチェーン上でトークンを成功裏に引き出し、総損失額は4470万ドルに達しました。

この事件は、特にトークンの承認ロジックの厳格な検証において、コード監査の重要性を再強調しました。

10. BingX：ホットウォレットが攻撃され、4470万ドルの損失

2024年9月19日、ある取引プラットフォームのホットウォレットがハッカーに侵入され、影響を受けたブロックチェーンにはイーサリアム、BNBチェーン、Tronなど複数のパブリックチェーンが含まれています。取引所は迅速に資産移転および出金停止メカニズムを開始しましたが、ハッカーは依然として4470万ドル相当の資産を成功裏に引き出しました。

今回の攻撃は、中央集権型取引所のホットウォレット管理の高リスク性を再び浮き彫りにし、業界がより安全な資産保管ソリューションをさらに探求することを促しました。

! 2024年に最も影響力のあるWeb3攻撃トップ10のインベントリ

まとめ

2024年に頻発するセキュリティ事件は、ブロックチェーン業界の健全な発展には強力なセキュリティ保障が不可欠であることを再度思い起こさせます。秘密鍵の漏洩から契約の脆弱性、内部管理の不備から外部攻撃手段の進化まで、各事件は業界に警鐘を鳴らしています。

複雑化する攻撃の脅威に対応するため、業界の関係者は技術開発、管理規範、リスク管理などの分野で継続的に投資を増やす必要があります。将来的には、業界の協力と技術革新を通じて、より安全で信頼性の高いブロックチェーンエコシステムを共に構築し、ユーザーと投資家により良い保護を提供することを期待しています。

! 2024年に最も影響力のあるWeb3攻撃トップ10のインベントリ