ログイン/ 登録

EraLend の悪用: ハッカーが zkSync レンディングプロトコルから 340 万ドルを盗む

2023/07/26 11:30

従う

zkSync レイヤ 2 上で動作する分散型融資プロトコルである EraLend が悪用され、340 万ドルの損失が発生しました。攻撃は確認済み BlockSec のセキュリティアナリストによって、この問題へのプロトコルの対処を支援してきました。

攻撃を受けて、EraLend は声明セキュリティインシデントを認め、脅威が封じ込められたことをユーザーに保証しました。同プロトコルはすべての借入業務を停止し、追って通知があるまでUSDCを預け入れないようユーザーに勧告した。

EraLend を襲う再入攻撃

BlockSec によると、この攻撃は読み取り専用の再入攻撃でした。この攻撃には、悪意のある攻撃者が契約機能への出入りを繰り返し、契約の状態を操作して資金を引き出します。

リエントランシー攻撃は、イーサリアムのような分散型ブロックチェーンネットワーク上で実行される自己実行コンピュータープログラムであるスマートコントラクトで発生する可能性のあるエクスプロイトです。

リエントラント攻撃では、悪意のあるユーザーが、前の関数呼び出しが完了する前にコントラクト内の関数を繰り返し呼び出すことでスマートコントラクトの脆弱性を悪用し、コントラクトの状態を操作し、資金を盗むことが可能になります。

スマートコントラクト関数が呼び出されると、関数呼び出しが完了する前にコントラクトの状態が更新されます。最初の関数呼び出しが完了する前に、呼び出された関数が 2 番目のコントラクトと対話するとします。その場合、2 番目のコントラクトは最初のコントラクトの関数をコールバックする可能性があり、元の関数呼び出しが完了する前にコントラクトの状態が複数回変更される可能性があります。

これにより、攻撃者が契約の状態を操作し、資金を盗むことが可能になります。

再入攻撃を防ぐために、開発者は「チェック効果インタラクション」と呼ばれる手法を使用できます。これは、スマートコントラクトは、状態変更を実行する前に常にすべての入力と条件をチェックし、他のコントラクトと対話する前にすべての状態変更を実行する必要があることを意味します。

これにより、外部インタラクションが発生する前にコントラクトの状態が確実に更新され、再入攻撃が防止されます。このケースでは、攻撃者は EraLend の契約コードの脆弱性を悪用し、プロトコルの認識なしに繰り返し資金を引き出すことができました。

EraLend は攻撃の根本原因を特定し、パートナーやサイバーセキュリティ企業と協力して問題に取り組んでいます。このプロトコルは、攻撃の影響を軽減し、今後同様の事件が発生するのを防ぐために必要なすべての措置を講じることをユーザーに保証しました。

それ以上の更新はありませんが、EraLend が最高のセキュリティ基準を維持し、ユーザーの資金とデータを保護するために積極的な措置を講じることに取り組んでいることは明らかです。