チェーン間ブリッジ「Nomad」でハッキング、WBTCなど200億円相当を損失

Nomadから約200億円資産が流出

DeFiクロスチェーンブリッジ「Nomad」で2日未明、約200億円(1億5000万ドル)相当の資金が不正に流出したことが明らかになった。

主に、暗号資産(仮想通貨)ラップドビットコイン(WBTC)、イーサリアム(ETH)ステーブルコインのUSDCoin(USDC)が影響を受けている。

Nomadは複数のブロックチェーン間で資産ブリッジ(移動)に使用されるアプリケーション。現在、イーサリアム(ETH)やムーンビーム(GLMR)、コスモスのEVM互換チェーン「Evmos」、アバランチ(AVAX)間でのブリッジをサポートしている。

データサイトDeFillama によると、2日6時頃(日本時間)にNomad に預けられた総資産価値(TVL)は1億6,500万ドルあったが、わずか数時間のうちに約24万円(1,800ドル)まで減少した。

ハッキング被害の主な原因は、Nomad開発チームによるヒューマンエラーであると指摘されている。大手VCのParadigmのセキュリティ専門家によると、Nomadのアップグレードの際に誤ってコードの「ルート証明書」が一般的な「0x00」へと変更された。

これにより、過去に成功したトランザクションの「calldata」をコピペして、「送信先アドレス」を変更するだけで、攻撃者が簡単に資金を引き出せる状況になっていた。

最初の攻撃者がコードの脆弱性をついた後、瞬く間に数百アカウントが集まり、取引をコピペして雪だるま式に被害が拡大していったようだ。

Nomadは、ブリッジ時の不正を発見した場合に時系列を巻き戻す「Optimistic fraud-prevention」を採用するクロスチェーン通信プロトコル。過去にRoninやHorizonで起きたような、ネットワークバリデーター(検証者)のマルチシグが攻撃対象となり得る仕組みでは無い。

関連:アクシーインフィニティの「Roninブリッジ」再開へ

しかし、本件の攻撃はブリッジを経由することなく、イーサリアム単体のコントラクトが悪用された。そのため、異常時にシステムを緊急停止させるOptimistic検証の監視モデルが機能しなかったと、相互運用性プロトコルConnextのArjun Bhuptani CEOは指摘した。

こうした脆弱性は、監査報告書で直接指摘されていたことも明らかになっている。コードの脆弱性はそのままに、その使い方がGithub上で公開されていた格好だ(報告書は現在非公開とされている)。

本件についてNomadチームは公式ツイッターで「現在調査中」と述べている。一方でNomadになりすまし、詐欺を目的にユーザーに不正な送付先アドレスを提供するアカウントも出ているとして、公式コミュニケーションチャネル以外からの連絡を無視するよう呼びかけた。

Nomadは7月末にシードラウンドで約28億円(2200万ドル)を調達したことを発表したばかりだ。リード投資家はVCのPolychainが務め、NFT電子市場OpenSeaや仮想通貨投資機関Coinbase Ventures、Crypto.com Capital、Wintermute、分散型プロジェクトのGnosis、Polygonなどが参加した。

関連:Harmonyブリッジ資金流出、被害者への補償にONEトークンの発行を提案

24時間上昇率ランキング(国内)
24時間下落率ランキング(国内)
1週間上昇率ランキング(国内)
1週間下落率ランキング(国内)
時価総額ランキング(国内)

画像はShutterstockのライセンス許諾により使用
「仮想通貨」とは「暗号資産」のことを指します