ソーシャルエンジニアリングにより2億8000万ドルが流出

巧妙な攻撃が分散型金融を揺るがし、Drift Protocolハッキングが運用セキュリティとトランザクション承認における重大な脆弱性を露呈しました。

Drift Protocolから2億8000万ドルがどのように流出したか

Drift Protocolにおいて、攻撃者は関連ウォレットから約2億8000万ドルを流出させることに成功し、その資金のほぼ半分に影響を与えました。チームによると、これは単純な日和見的な盗難ではなく、時間をかけて展開された高度に組織化された作戦でした。

さらに、この攻撃は事前署名された永続ノンストランザクションを中心に展開されました。これらの特殊なトランザクションは、通常のタイミング予測を外れて後から実行することができます。攻撃者は待機し、戦略的なタイミングでそれらを発動させ、日常的な運用メカニズムを強力な攻撃ベクトルに変換しました。

ソーシャルエンジニアリングとマルチシグ操作

しかし、この事件の核心はコードにはありませんでした。代わりに、攻撃者は標的型ソーシャルエンジニアリングを使用して複数のマルチシグ・ウォレット署名者を誤誘導したと報告されています。信頼を構築し、説得力のあるメッセージを作成することで、署名者に潜在的なリスクを認識させることなく危険な行動を承認させました。

このプロセスにより、攻撃者はプロトコルにリンクされた重要なインフラストラクチャの管理者権限の乗っ取りを確保することができました。昇格された権限を手にして、彼らは資金の移動を承認し、遅延されたトランザクションを実行することができ、結果として大規模な資産の流出をもたらしました。

なぜこれはスマートコントラクトの障害ではなかったのか

チームは、この侵害がスマートコントラクトのバグやプロトコルのコードの欠陥によるものではないことを明確に説明しました。シードフレーズやコアウォレットキーも侵害されていませんでした。とはいえ、遅延トランザクションツールと人間の欺瞞の組み合わせが、効果的なオフチェーンの脆弱性を生み出しました。

内部のDrift Protocolの分析において、プロジェクトはコード監査だけではこのタイプの攻撃を防ぐことができないことを強調しました。代わりに、強力な管理ウォレットを使用する際には、署名者の検証、帯域外確認、トランザクション制限に関するより強力な手順が必要です。

Drift Protocolハッキングから学ぶ分散型金融セキュリティの教訓

Drift Protocolハッキングは、人的要因がよく監査されたシステムでさえも弱体化させる可能性があることを浮き彫りにしています。さらに、永続的なノンスメカニズムとマルチシグ・ウォレット設定は、承認前のマルチチャネル確認やコンテキストチェックを含む厳格なポリシーと組み合わせる必要があることを示しています。

より広いエコシステムにとって、この事件は将来のDrift Protocolセキュリティアップデートの実践と、より広範な分散型金融標準に情報を提供する可能性があります。特に、プロトコルは事前署名されたトランザクションの使用を再検討し、署名者のローテーションポリシーを再考し、マルチシグ・ウォレットソーシャルエンジニアリング攻撃の試みに対する継続的な教育を主張するかもしれません。

最終的に、このイベントは詳細なウォレット資金流出エクスプロイトのケーススタディとして位置付けられます。これは、特に大規模な管理ウォレットがユーザー資産を管理する場合、運用セキュリティ、署名者の行動、オフチェーンコミュニケーションをオンチェーン処理コードと同じ厳格さで扱う必要性を強調しています。