3歳のバグが130万ドルの流出を引き起こし、10日間のブロックチェーン停止を強制

定期的なRadixコードのリファクタリングにより、約130万ドルの盗難を可能にするボールトの欠陥が生じ、その後、バリデーターはブロックチェーンを停止せざるを得なくなりました。

Radix財団は9月17日に、RDX Worksの開発チームが2023年6月のRadixエンジンのクリーンアップ中に欠陥を導入したと発表しました。このソフトウェア層は、ネットワーク全体でトランザクションを実行し、資産の所有権を強制します。この脆弱性は、攻撃者が8月31日にそれを悪用するまでの3年以上にわたり検出されませんでした。

コミュニティによる台帳の再構築によると、攻撃者は26回のトランザクションを通じて約458,915 USDC、72,420 USDT、61.08 ETH、6.35ラップドビットコイン、536.16 SOL、32.91 BNBを引き出しました。これらの資産は、8月31日の市場価格で約126万ドルの価値があり、攻撃者はトランザクション手数料を支払うためにさらに13,000 XRDをボールトから持ち出しました。この2つのステーブルコインだけで約531,335ドルを占めていました。

盗まれた資産はHyperlaneを通じてEthereum、BNBチェーン、Solanaに送信され、その後ETHに売却されました。Hyperlane自体は設計通りに機能しました：攻撃者はすでにRadixエンジンを通じて資産を取得してから、ブリッジを使用して他の場所に移動しました。プライベートキーは侵害されていません。

しかし、即時の損失は潜在的な露出を過小評価していました。Radixの調査員は、この欠陥がネットワーク上の任意のボールトに対して使用される可能性があり、攻撃者がターゲットにしたブリッジされた保有資産を超えてトークンやその他の資産を危険にさらす可能性があると結論付けました。

その結果、ネットワークのバリデーターは合意に達するのを防ぐために十分なステークを意図的にオフラインにし、開発者が修正作業を行っている間、追加のトランザクションを停止しました。

Radixの監査ミスがメンテナンスバグを体系的な失敗に変える

この脆弱性は、攻撃者が見つける前にすでに独立したセキュリティレビューを生き延びていました。

Zellicは2024年にRadixプロトコルを監査し、欠陥を含むエンジンカーネルを評価しました。このレビューでは、脆弱なコードが前年度のリファクタリング中に導入されたにもかかわらず、認可の欠陥は検出されませんでした。

このバグは、エンジンがボールトの参照を処理する方法を変更しました。トランザクションは、内部アドレスによって他のユーザーのボールトを特定し、その参照を目的に特化したスマートコントラクトコードに渡すことができました。エンジンは、その要求を拒否すべき所有権の境界を適切に強制することなく、通常の引き出し機能を呼び出すことを許可しました。

これにより、攻撃者は所有者の署名を取得することなく、ユーザーアカウント、アプリケーション、流動性プールに保持されている資産にアクセスできるようになりました。

財団は、攻撃者が8月31日のUTC時間16:02から16:57の間に26回の悪用トランザクションを完了したと述べました。調査員が脆弱性が単一のアプリケーションではなく実行層に存在することを確認すると、バリデーターはトランザクションの最終化を停止するために調整しました。

停止は10日以上続きました。プロトコルの修正により、制限されたボールト参照が通常の引き出しに使用されるのを防ぐチェックが追加され、ユーザーのトランザクションは9月11日に再開されました。コミュニティの台帳再構築によると、

この事件は、攻撃者が取引ペアの片側からブリッジされた資産を取り除いた後、流動性プールに二次的な損失をもたらしました。歪んだ価格により、別のアカウントが影響を受けたプールから数百万XRDを抽出できるようになり、実行層の失敗が初期の資産がネットワークを離れた後でも経済的損害を引き起こし続ける可能性を示しました。

Radixは、回帰テストを追加し、セキュリティレビューのプロセスを強化し、ネットワークの生存性を破るためにバリデーターが使用した緊急手順を正式化すると述べました。

財団はまた、今後のセキュリティ作業は、攻撃者が数年前の欠陥を特定するのに役立った可能性があると考える、ますます能力の高いAI支援のコード分析ツールを考慮に入れる必要があると述べました。

開発者とバリデーターにとって、次の課題は、外部監査が見逃す可能性のあるセキュリティの仮定を静かに変更するような、同様の定期メンテナンス作業を防ぐことです。

その作業は、悪用されたコードの修正を超えています。Radixは、所有権ロジックの変更に関するレビューのプロセスを強化し、最終的にその境界を正しく強制するエンジンに依存するユーザーや流動性提供者の間で信頼を回復する必要があります。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。