アレックス・ブリッジ侵入の疑いで430万ドルが消失

5 月 14 日、CertiK は、不審な契約アップグレードの後、BNB スマート チェーン ベースの Alex プロトコル ブリッジから 430 万ドルが引き出されたと報告しました。プロトコルのデプロイヤ アカウントによって実行されるアップグレードには、実装アドレスが未検証のバイトコードに置き換えられることが含まれていました。その後、資金が未知のアドレスに転送され、秘密鍵が侵害される可能性があるとの懸念が生じました。

Alex Bridge Exploited for $4.3 Million in Suspicious Withdrawals

アレックス・ブリッジ、不審な引き出しで430万ドルを搾取される

May 14, 2023 - The Alex protocol bridge, a gateway connecting the Bitcoin layer-2 protocol to other networks, has fallen victim to a sophisticated exploit, resulting in the loss of approximately $4.3 million in digital assets.

2023 年 5 月 14 日 - ビットコインのレイヤー 2 プロトコルを他のネットワークに接続するゲートウェイである Alex プロトコル ブリッジが高度なエクスプロイトの被害に遭い、その結果デジタル資産約 430 万ドルが損失しました。

Blockchain security platform CertiK released a report on May 14, detailing the incident that occurred just hours after the bridge's contract was mysteriously upgraded five times in rapid succession. The upgrades, initiated by the protocol's deployer account, raised immediate concerns of a potential private key compromise.

ブロックチェーンセキュリティプラットフォームのCertiKは5月14日に報告書を発表し、橋の契約が不思議なことに立て続けに5回アップグレードされた数時間後に発生した事件を詳述した。プロトコルのデプロイヤ アカウントによって開始されたアップグレードにより、秘密キーが侵害される可能性があるという懸念が直ちに生じました。

The new implementation address, ending in 7058, contained unverified bytecode, rendering it indecipherable to human readers. Within an hour of the upgrades, the proxy address for the bridge contract executed an unverified function on an address ending in 4848E. This action triggered the transfer of a substantial amount of Binance-Pegged Bitcoin (BTC), USD Coin (USDC), and Sugar Kingdom Odyssey (SKO) from the BNB Smart Chain leg of the bridge into the 484E address.

7058 で終わる新しい実装アドレスには未検証のバイトコードが含まれており、人間の読み取りでは解読できませんでした。アップグレードから 1 時間以内に、ブリッジ コントラクトのプロキシ アドレスが、4848E で終わるアドレスに対して未検証の機能を実行しました。このアクションにより、ブリッジの BNB スマート チェーン レッグから 484E アドレスへの相当量のバイナンス ペッグ ビットコイン (BTC)、USD コイン (USDC)、およびシュガー キングダム オデッセイ (SKO) の転送がトリガーされました。

The attacker's motive appears to extend beyond the BNB Smart Chain network. At 5:41 pm UTC, minutes after the exploit on BNB Smart Chain, a similar series of upgrades occurred on Ethereum. The deployer upgraded the "artist address" to an unverified contract, followed by an attempt to withdraw funds from the "team address" by an account ending in 05ed. However, the withdrawal attempts failed, returning a "not owner" error.

攻撃者の動機は、BNB スマート チェーン ネットワークを超えて広がっているようです。 BNB スマート チェーンでのエクスプロイトから数分後の協定世界時午後 5 時 41 分に、同様の一連のアップグレードがイーサリアムで発生しました。デプロイヤーは「アーティストアドレス」を未確認の契約にアップグレードし、続いて 05ed で終わるアカウントによって「チームアドレス」から資金を引き出しようとしました。ただし、出金の試みは失敗し、「所有者ではありません」エラーが返されました。

The 05ed account, which exhibited no activity before May 10, raised suspicions of malicious intent. Its creation of three unverified contracts within a short period suggested control by a malicious actor.

05ed アカウントは 5 月 10 日以前には活動を示さなかったが、悪意のある意図の疑いが生じた。短期間に 3 つの未検証の契約が作成されたことは、悪意のある攻撃者による制御を示唆しました。

At the time of this report's publication, the Alex team had yet to confirm the exploit or comment on the incident. The attack marks a growing trend of protocol exploits in the decentralized finance (DeFi) space, with Equalizer and Gnus.ai reporting losses exceeding $3.5 million combined in May alone.

このレポートの発行時点では、Alex チームはまだエクスプロイトを確認しておらず、この事件についてコメントしていませんでした。この攻撃は分散型金融（DeFi）分野におけるプロトコル悪用の増加傾向を示しており、EqualizerとGnus.aiは5月だけで合計350万ドルを超える損失を報告している。

The Alex bridge incident highlights the ongoing security risks associated with DeFi platforms and the need for robust security measures to protect user funds. CertiK's comprehensive investigation underscores the importance of thorough audits and regular security reviews to identify and mitigate potential vulnerabilities.

アレックス・ブリッジの事件は、DeFiプラットフォームに関連する継続的なセキュリティリスクと、ユーザーの資金を保護するための堅牢なセキュリティ対策の必要性を浮き彫りにしました。 CertiK の包括的な調査は、潜在的な脆弱性を特定して軽減するための徹底的な監査と定期的なセキュリティ レビューの重要性を強調しています。

The incident serves as a stark reminder that the security of DeFi platforms is paramount, and users should exercise due diligence in selecting and interacting with protocols. Developers must prioritize the implementation of rigorous security protocols and transparency to instill trust and confidence among users.

この事件は、DeFiプラットフォームのセキュリティが最重要であり、ユーザーはプロトコルの選択と操作において適切な注意を払う必要があることをはっきりと思い出させます。開発者は、ユーザー間に信頼と自信を与えるために、厳格なセキュリティ プロトコルの実装と透明性を優先する必要があります。