ソラナ財団、ハッキングの原因特定に成功

ソラナ関連ウォレットで不正流出

ソラナ（SOL）エコシステムで発生した不正流出事件について、原因が明らかになってきた。ウォレットプロバイダーである「Slope」の秘密鍵の管理方法に問題があった模様だ。

今週3日、PhantomやSlope等のソラナ関連のウォレットから、暗号資産（仮想通貨）SOL及び「SPL規格で発行されたトークン」が流出。被害を受けたアドレスは執筆時点に約8,000件に上り、推定10億円（800万ドル）程の資産が攻撃者が管理する4つのアドレスに送られた。

ソラナ財団によれば、被害に遭ったウォレットアドレスは、いずれもモバイルウォレットアプリ「Slope」で作成されたり、Slopeにインポートして使用されていたものだった。

There is no evidence the Solana protocol or its cryptography was compromised.

3/3

— Solana Status (@SolanaStatus) August 3, 2022

Slopeのようなホットウォレットはインターネットに接続されたデバイスに秘密鍵をデジタル形式で保存する。通常は高度な暗号化方式で秘密鍵を保護するが、コードのバグやセキュリティの脆弱性が見つかると即座に攻撃の対象になりやすい。

また、DeFi（分散型金融）開発者foobar氏の見立てによると、Slopeの中央サーバーに「平文（暗号化されていないデータ）」で秘密鍵とニーモニックが送信されており、大規模な情報漏洩を招いた疑いがある。

Solana hack – looks like the Slope wallet sent plaintext seed phrases to external integration partners.

Compromised Phantom wallets came from seed phrase imports used in Slope. Compromised ETH wallets were also from seed phrase reuse.

Not a blockchain or randomness issue.

— foobar (@0xfoobar) August 3, 2022

ブロックチェーン監視企業Zellicも、Slopeが使用するアプリケーション監視サービス「Sentry」がこれらの秘密鍵情報を保存していたものをハッカーが発見し、悪用した可能性を指摘した。

4/ The Slope Wallet for iOS and Android uses Sentry for event logging.

Any interaction in the app would trigger an event log.

Unfortunately, Slope didn't configure Sentry to scrub sensitive info. Thus, mnemonics were leaked to Sentry

s/o to @sniko_ for this screenshot: pic.twitter.com/Rs7pEvVGsJ

— Zellic (@Zellic_io) August 3, 2022

Slope側の対応

なお、Slopeウォレットは3日に声明を出し、「一部のウォレットが侵害された」ことを認めている。ユーザーに対して、新しい秘密鍵を持つウォレットを作成して、資産を移すよう推奨した。

一方で、どのような経緯で秘密鍵が漏洩したかについては「まだ確定ではない」と主張しており、専門家チームと問題の特定と改善に向けて務めると加えた。

別のウォレットプロバイダー「Phantom」のユーザーも被害に遭っているが、Slopeウォレットにアカウントをインポートしたアドレスに限られている。Phantomの公式ツイッターはSlopeの声明を受けて、新しいウォレットはSlope以外で作成するようユーザーに呼びかけた。

関連：ソラナの仮想通貨ウォレットが標的に、ハッキングによる大量被害