史上最大のDeFi盗難事件にまつわる奇妙で風変りな出来事
TechFlow厳選深潮セレクト
史上最大のDeFi盗難事件にまつわる奇妙で風変りな出来事
コードのルールが第一か、それとも法律のルールが第一か？DeFiは規制されるべきか？Tetherは資産を凍結すべきか？分散化の限界とはどこにあるのか？
Web3業界の深掘り報道に専念し潮流を洞察
Poly Networkで合計6.1億ドル相当の暗号資産が盗まれ、暗号資産史上最大のDeFiハッキング事件となった。この事件は謎に包まれており、奇妙で滑稽なだけでなく、パフォーマンスアートのような側面も兼ね備えている。
どのように盗まれたのか？
8月10日夜、クロスチェーン相互運用プロトコルであるPoly Networkが突如発表し、ハッカーによる攻撃を受けたと報告した。イーサリアム、BSC、Polygonの各ブロックチェーン上で、それぞれ2.5億ドル、2.7億ドル、8500万ドル相当の暗号資産が盗まれ、被害総額は6.1億ドルに達した。
盗難原因については主に二つの説がある。
セキュリティ企業BlockSecは分析レポートを発表し、クロスチェーン署名に使われる秘密鍵が漏洩したか、または署名プログラムに論理的なバグがあり、攻撃用の取引が署名された可能性があるとしている。
これに対し、セキュリティ会社SlowMistは別の分析結果を公表し、攻撃者が巧妙に構成されたデータを使って、イーサリアムのクロスチェーン契約内の「keeper（管理人）」を攻撃者の指定アドレスに書き換えたものであり、ネット上での「keeperの秘密鍵漏洩」説とは異なると指摘した。
ブロックチェーンデータプラットフォームBreadcrumbsの分析も、SlowMistの見解を支持する傾向にある。
Poly Networkには一連のスマートコントラクトがあり、ネットワーク上の資金管理を制御している。イーサリアム上では、以下の3つのPoly Networkコントラクトが管理に関与している：
イーサリアム クロスチェーンマネージャー
0x838bf9e95cb12dd76a54c9f9d2e3082eaf928270
イーサリアム アセットエージェント
0x250e76987d838a75310c34bf422ea9f1AC4Cc906
イーサリアム クロスチェーンデータ
0xcf2afe102057ba5c16f899271045a0a37fcb10f2
イーサリアムクロスチェーンデータコントラクトに保存されている重要な変数により、「コンセンサス記帳人（consensus keeper）」のアドレスが決定される。この記帳人は、PolyNetworkのすべての資産を保有するイーサリアムアセットエージェントコントラクトから資金を引き出す権限を持つ。
ハッカーは特定のデータでイーサリアムクロスチェーンマネージャーを呼び出し、記帳人の変数を自分のアドレスに設定した。この変更は以下のイーサリアム取引で実行された：
0xb1f70464bd95b774c6ce60fc706eb5f9e35cb5f06e6cfe7c17dcda46ffd59581
自分のアドレスをイーサリアムの記帳人に設定した後、10種類の異なる資産をアセットエージェントアドレスから自分のアドレスへ引き出した。
その後、同様の手口をBinance Smart ChainおよびPolygonネットワークでも繰り返した。
現在、盗まれた資産は主にイーサリアムおよびBinance Smart Chain上に集中しており、その多くはUSDCである。
中国人による犯行か？
これほど大規模なハッキング攻撃が、内部関係者やチームメンバーによるものではないかという疑問が生じる。
SushiのセキュリティリサーチャーMudit Gupta氏は、ハッカーが何らかの手段で鍵を取得した可能性に加え、チーム内部の人間と結託して攻撃を実行した可能性もあり、より徹底的な調査が必要だと述べた。
攻撃者のアドレスを追跡した結果、ある取引所が浮上した――フーフー（Hoo）である。
SlowMistは、フーフーおよび複数の取引所の技術的支援のもと、ハッカーの初期資金源がモネロ（XMR）であることを突き止めた。その後、取引所内でBNB、ETH、MATICなどの通貨に交換され、3つのアドレスに送金された直後に、3つのブロックチェーン上で攻撃が開始された。
つまり、ハッカーはKYC未実施のフーフー口座にモネロを入金し、それをBNB、ETH、MATICに交換して、攻撃のためのガス代として使用したのである。
事件発生後、フーフーは直ちにPolyNetworkの盗難に関する声明を発表した：
1. フーフーは直ちに業界の著名なセキュリティ企業に情報を提供し、追跡に協力した；
2. フーフーは直ちに該当トークンの入出金を停止し、盗難資金が取引所に流入しないよう禁止した；
3. フーフーは今後も事態の動向を注視し、業界の正義を守り、ハッカーに立ち向かう。
SlowMistセキュリティチームは、オンチェーン・オフチェーンの情報から、Poly Network攻撃者のメールアドレス、IPアドレス、デバイスフィンガープリントなどを特定しており、これは長期にわたって計画され、組織的に準備された攻撃である可能性が高いとしている。
こうして、「中国人による犯行」「知人による内通犯行」という憶測がコミュニティ内で広がった。
パフォーマンスアート
この盗難事件には、皮肉な出来事もあった。
hanashiro.ethというアドレスが、ハッカーのアドレスにメッセージを送信し、「USDTは凍結されているので、使わないでください」と警告した。
感謝の意味か、ハッカーはこのアドレスに13.37ETHを送金した。
これを知った投機家たちが殺到し、次々とハッカーのアドレスにメッセージを送信して報酬を得ようとした。
中には「父さん」と呼びかける者、師匠を乞う者、投資で破産した悲劇を訴える者までいた……。
しかし誰も気づかなかったのは、なぜ13.37ETHなのかという点だ。
Leet（1337）は、いわゆる「ハッカー語」とも呼ばれ、西洋のBBS、オンラインゲーム、ハッカー文化圏で使われる文字表現であり、ここでは「俺はすごいハッカーだ」という自負を示しているように見える。
ETHを受け取ったhanashiro.ethは以前からバイナンス取引所と何度もやり取りしており、責任追及を恐れたのか、受け取ったETHをすべてバイナンスチャリティ、Infura、Rekt、Archive.orgなどに寄付した。1回あたり1.339ETHずつ寄付し、オンチェーン上に詩や歌詞のような芸術的メッセージを残すことで、壮大なパフォーマンスアートを展開した。
受取先：バイナンスチャリティ
メッセージ：
我々は世界だ
我々は子供だ
より明るい未来を創る者たちだから、さあ、与えよう。
私たちは選択をしている
自分自身の命を救っているのだ
真実だ、君と僕だけの力で、より良い日を創ることができる。
受取先：Etherscan
メッセージ：
心を彼らに捧げよ
誰かが気にかけていることを知らせよ
彼らの人生はより強く、自由になる
神が石をパンに変えたように
私たち全員が手を差し伸べなければならない
受取先：Infura
メッセージ：
落ち込んだ時、希望はどこにもないように思える
だが信じていれば、倒れることはない
さあ、気づこう
変化が起こるのは、団結したときだけだ
団結すれば、そう、そう、そう
受取先：Rekt
メッセージ：
日本の楽曲
日本の楽曲
受取先：Archive.org
メッセージ：
もうこれ以上続けられない
日々、誰かがすぐに変えてくれると偽って生きる
私たちは皆、神の家族の一員だ
事実は、愛こそが唯一必要なものだと知っていることだ
受取先：自分自身
メッセージ：
通りすがりの暗号資産愛好家にすぎず、ハッカーのTether/Circleブラックリスト状態を確認し、その情報を送っただけです。
誰が動揺しているのか？
おそらく、これがハッカー人生で最も豊かな瞬間だったのだろう。彼はオンチェーン上で二つのメッセージを発信した：
「もしもっと“ガラクタコイン”を移動させたら、これは10億ドル規模の事件になるだろう！私はプロジェクトを救ったのじゃないか？お金には興味がない。今、一部のトークンを返還するか、そのままにするかを検討している。」
「新しいトークンを発行し、DAOがその行方を決めることにしたらどうだろう？」
ハッカーの傲慢さの中には、わずかな恐怖も感じられる。一方、攻撃を受けたプロジェクト側は表面上強気を見せている。PolyNetworkは公開書簡を発表し、次のように述べた：
あなたと連絡を取りたい。盗まれた資産を返還してほしい。
あなたの盗難額はDeFi史上最大であり、どの国の法律でも重大な経済犯罪とみなされ、追跡されるだろう。
これ以上の取引は賢明ではない。これらの資産は数千人のコミュニティメンバーの財産だ。我々と対話して解決策を探すべきだ。
しかし、「Dear」で始まるその書簡からして、PolyNetworkはすでに敗北していたのかもしれない。
狭路相逢、今や心理戦の局面に入った。技術的な追跡と逆追跡の攻防、果たして最後に「鹿を獲るのは誰か」？
最終的に、すべての痛みは盗難被害者自身が背負うことになる。
報道によると、今回の被害者は上海在住の高所得者層が中心で、業界の大物が1億ドル以上を失ったとの噂もある。
「地道に稼いでいた小銭が、一夜にしてゼロに」。潜在的な黒い白鳥（ブラックスワン）を決して軽視してはならない。
最後に、極めて皮肉な一文：
盗難前：コードが法である。DeFiには政府も警察も裁判所も法律も不要。くそくらえ政府！
盗難後：ねえ…警察？ ハッキングされました。全財産が盗まれました。助けてください。
コードのルールが最優先か、それとも法律のルールか？ DeFiは規制されるべきか？ Tetherは資産を凍結すべきか？ 分散化の限界はどこにあるのか？
おそらく、深く考える価値がある。
TechFlow公式コミュニティへようこそ
Telegram購読グループ：https://t.me/TechFlowDaily
Twitter公式アカウント：https://x.com/TechFlowPost
Twitter英語アカウント：https://x.com/BlockFlow_News
