ログイン/ 登録

バイビットによる約15億ドルの窃盗の真実

JinseFinance

2025/02/27 16:24

従う

著者：23pds & Thinking Edited by Liz

背景

2月26日の夕方、BybitとSafeは同時に、約15億ドル相当のBybit暗号通貨が盗まれた事件に関するセキュリティ調査を発表しました。

Safeは次のように述べています:

Bybitに対する標的型攻撃に関するLazarus Groupのフォレンジック分析によると、攻撃者は、偽装された悪意のある取引の提案を提出し、Bybitのセーフウォレット所有者がそれに署名するよう誘導するために、 Safe{Wallet}開発者のマシンを侵害したとのことです。Bybitセーフウォレットのオーナーは、悪意のある取引に署名するよう誘導され、Bybitセーフウォレットへの攻撃が可能になりました。

外部のセキュリティ研究者によるフォレンジック分析では、Safeスマートコントラクト、フロントエンド、関連サービスのソースコードに脆弱性は確認されませんでした。インシデント発生後、Safe{Wallet}チームは徹底的な調査を行い、段階的にイーサリアムのメインネットワーク上でSafe{Wallet}を復旧させました。Safe{Wallet}チームは完全に再構築し、すべてのインフラを再構成し、すべての認証情報をローテーションして、攻撃ベクトルが完全に排除されたことを確認しました。Safe{Wallet}チームは、調査の最終結果が出次第、完全な事後分析を発表する予定です。

Safe{Wallet}のフロントエンドは、追加のセキュリティ対策が施された状態でまだ稼働しています。

セーフ{ウォレット}のフロントエンドは、追加のセキュリティ対策が施され、まだ稼働しています。

Bybit社は次のように述べています:

攻撃された時間:。悪質なコードは2025年2月19日にSafe{Wallet}のAWS S3ストレージバケットに注入され、2025年2月21日にBybitがマルチシグトランザクションを実行したときにトリガーされました。
手法:攻撃者はSafe{Wallet}のフロントエンドJavaScriptファイルを改ざんすることで悪意のあるコードを注入し、Bybitのマルチシグトランザクションを変更し、資金を攻撃者のアドレスにリダイレクトしました。攻撃者のアドレス。
ターゲット:悪意のあるコードは、特にBybitのマルチシグCold Walletアドレスとテストアドレスをターゲットにしており、特定の条件下でのみ有効化されます。
攻撃後の行動:悪意のあるトランザクションが実行された約2分後、攻撃者は痕跡を消すためにAWS S3ストレージバケットから悪意のあるコードを削除しました。
調査結果:この攻撃は、Safe{Wallet}のAWSインフラ（おそらく侵害されたか、侵害されたS3 CloudFrontアカウント/APIキー）とBybit自身のインフラから発生しました。Bybit自身のインフラは攻撃されていません。

米国連邦捜査局（FBI）は、Bybitが攻撃を受けていることを明らかにしました。米連邦捜査局（FBI）は、15億ドル相当の暗号資産が盗まれた2月21日のBybit取引所に対するハッキングの背後に、北朝鮮のハッカー集団「TraderTraitor」（別名Lazarus Group）がいると特定する発表を行いました。

レビューと分析

外部の第三者セキュリティ組織であるスローフォグは、分析には直接関与していませんが、監視を続けています。

2月26日の朝、スローフォッグのセキュリティチームが社内で攻撃を検証していたところ、スローフォッグのCISOである23pdsが、2月21日の攻撃以降、セーフがフロントエンドやその他のコードを様々な方法で修正し始めていることを発見しました。ヘッドシンキングコンサーン:

https://app.safe.global/_next/static/chunks/pages/_app-52c9031bfa03da47.js

このJavaScriptコードの変更履歴:

最初にurlscanを使用して、過去数ヶ月間のapp.safe.globalへの変更を取得したところ、変更された唯一のファイルは「_app-52c9031bfa03da47.js」であることがわかりました:

そこで、アーカイブ経由でこのファイルの変更を分析しました:

そして、このファイルの変更を分析しました。ファイルの変更:

https://web.archive.org/web/20250219172905js_/https://app.safe.global/_next/static/chunks/pages/_app-52c9031bfa03da47.js

ここに示されているように:

このハッキングの攻撃者が使用した悪意のある実装契約のアドレスと一致します: 0xbdd077f651ebe7f7b3ce16fe5f2b025be2969516。"text-align: left;">関係する「_app-52c9031bfa03da47.js」JavaScriptコードは次のように分析されました:

(Image source: ScamSniffer)

次のようになります。攻撃全体のフローチャート

。偶然にも、私たちがこの件を分析していた昨晩、SafeとBybitが調査報告書を発表しました。現時点では、約15億ドル相当のBybitの暗号通貨の盗難は、攻撃者による綿密に計画された標的型攻撃であったことが確認できる。この事件は、開発環境やサプライチェーンを正確に攻撃するハッカーの能力を明らかにし、フロントエンドのコード管理の重要性を浮き彫りにした。攻撃者はapp.safe.globalフロントエンドコードを制御し、BybitのSafe{Wallet}ウォレットを正確に狙いました。Bybitのマルチシグネチャーのオーナーがapp.safe.globalで署名すると、Safe{Wallet}インターフェースは通常のアドレスを表示しますが、実際には、トランザクションを開始する際に、トランザクションの内容を悪意のある署名データに置き換えるため、オーナーは修正された悪意のある署名データに署名するように騙されます。最終的に、攻撃者はBybitのマルチシグネチャウォレットのコントロールを乗っ取り、コインを盗むことに成功しました。

有益なレポートを通じて仮想通貨業界の幅広い理解を得て、志を同じくする他の著者や読者との詳細な議論に参加してください。拡大している Coinlive コミュニティにぜひご参加ください。https://t.me/CoinliveSG

コメントを追加する

ログインあなたの素晴らしいコメントを残すために…

0 コメント

最も早い

コメントをさらに読み込む