Swan Treasury、リークした署名キーにより攻撃者がSTYを99%のディスカウントで購入し、62万5千ドルを損失

Swan Treasuryは、攻撃者がリークされたオフチェーン署名者秘密鍵を使用してBNBチェーン上でSTYトークンを大幅な割引価格で購入し、直ちに現金化した結果、約625,000ドルの損失を被ったと、ブロックチェーンセキュリティ企業Defimon Alertsが報告した。 発生した事象 Defimonの調査によると、ZhaiquanBuyコントラクトにハードコードされたオフチェーン署名者アドレス（0xdEb4…8284）が侵害された。攻撃者は盗まれた鍵を使用して有効な署名を生成し、購入時に「割引」パラメータを署名して受け取るSTYトークン数を計算するbuy()関数を操作した。攻撃者は割引値として1を署名することで、意図された価格の約1/100でSTYを購入した。 攻撃の経過 攻撃者はPancakeSwapのフラッシュローン約19,700 USDTを用い、割引購入メカニズムを通じて約687,000 STYを取得した。Defimonは、攻撃者が関連するclaim()およびtransfer()関数に対しても有効な署名を偽造し、追加のSTYを引き出し、その後STY/USDT流動性プールにこれらのトークンを売却したことを確認した。ポジションを解消した後、攻撃者は約625,000 USDTの利益を実現した。当時、STYは約2.87ドルで取引されていた。 これがコントラクトバグではなく鍵のリークである理由 Defimonの技術的分析では、攻撃中に発生したすべてのecrecover呼び出しが、攻撃者が制御するアドレスではなく、プロトコルのハードコードされた署名者アドレスに解決していた。これは、署名検証ロジックに欠陥があったのではなく、秘密鍵そのものが露出していたことを示している。なぜなら、偽造された署名は期待される署名者と完全に一致していたからである。 対応と広い文脈 Swan Treasuryは、署名者鍵がどのように露出したかについて公に説明しておらず、公開時点では任何の対策も開示していない。この事件は、オンチェーンバグではなく、漏洩した特権的資格情報によって大規模な損失が発生した一連の攻撃の最新事例である。2025年6月、Hackenは、侵害された秘密鍵により攻撃者がEthereumおよびBNBチェーン上で9億HAIをミントし、アカウントが無効化される前に約25万ドルを獲得したことを公表した。crypto.newsが引用したHackenの分析によると、2024年に記録された暗号資産ハッキング損失の78％がアクセス制御の失敗、特に秘密鍵のリークが原因であった。 新興の攻撃面 秘密鍵は、不適切な保管方法だけでなく、サードパーティシステムを通じても標的とされるようになっている。Zilliqaは最近、Ledgerアプリのnonce生成に欠陥があり、収集された署名から鍵を復元可能となったため、ネイティブZILトランザクションを一時停止した。カリフォルニア大学の学術研究者らは、一部のサードパーティAIルーティングサービスがリクエスト処理中にプレインテキスト資格情報（秘密鍵を含む）にアクセス可能であることを示し、テストでは中間者がテストウォレットから資金を引き出した。 教訓 この侵害は、単純だが持続的な真実を浮き彫りにしている：秘密署名鍵は単一障害点である。プロジェクトは鍵をハードコードしたり、中間サービスに露出させず、厳格なアクセス制御を実施し、資格情報をローテーションおよびセーフティボックスで保管し、より強力な暗号化保管ソリューションを採用して資格情報盗難のリスクを低減すべきである。 詳細はこちら：Defimon Alertsの技術的要約およびSwan Treasuryからのフォローアップ（公開された場合）で対策詳細と回復状況をご確認ください。