Stake DAO が Arbitrum 上でセキュリティイベントを発生させ、攻撃者がプロトコルのデプロイナーの秘密鍵を取得した後、vsdCRV の LayerZero v2 ピア設定を変更し、偽のクロスチェーンメッセージを送信して大規模な異常な新規発行を引き起こした。
攻撃経路は秘密鍵とクロスチェーン設定を指向しています
開示されたところによると、問題はvsdCRVのクロスチェーン通信設定にありました。攻撃者はLayerZero v2のピアアドレスを制御可能なターゲットに変更し、追加の制限なしに自らのウォレットに約5.44兆枚のvsdCRVをミントする悪意のあるクロスチェーンメッセージを構築しました。
このような攻撃は、公開市場での購入によって行われるのではなく、プロトコルの権限とクロスチェーンメッセージ検証プロセスを直接悪用し、本来存在すべきでない大規模なトークン供給を生み出します。
一部のトークンが交換され、イーサリアムに転送されました。
ブロックチェーンセキュリティ企業Blockaidは、攻撃者が一部のトークンを売却し、約43.78枚のETHを取得した上で、資金をイーサリアムメインネットにブリッジしたと述べています。これは関連資産がクロスチェーン移転を開始したことを意味し、今後の追跡および凍結の難易度が高まる可能性があります。
- 攻撃はArbitrumネットワークで発生しました
- 対象トークンはStake DAOのvsdCRVです。
- 既に一部の資金が約43.78 ETHに変換されました
チームの調査中、ユーザーには承認の取り消しを促されました
Stake DAO チームは、秘密鍵がどのように漏洩したか、設定変更がいつ発生したか、および他の契約や資産にも影響があるかどうかを含め、イベントの経過を調査中です。
調査が進行中の期間、ユーザーには関連する承認を早期に取り消すよう通知され、今後のリスクを軽減するよう促されました。DeFiプロトコルにおいて、権限のデプロイやクロスチェーン設定が制御されると、影響は単一のコントラクトから迅速に資金移動や流動性のレベルまで拡大する傾向があります。