Fenbushi Capital幹部、約60億円分のUSDC盗難被害

ウォレットハッキング

上海を拠点にする投資会社Fenbushi Capitalのパートナー、Bo Shen氏のウォレットがハッキング被害に遭い、11月10日に約60億円（4,200万ドル）相当の暗号資産（仮想通貨）が奪われていたことが明らかになった。

不正流出した資産の内訳は以下の通り、いずれも個人資産であり、Fenbushiやその関連団体の顧客に影響を与えることはないという。

USDCoin（USDC）3,823万ドル
イーサリアム（ETH）1,600ドル相当
テザー（USDT）約72万ドル
ビットコイン（BTC）4ドル相当

Shen氏は既に、事件について地元の法執行機関に通報済み。FBIやブロックチェーンセキュリティ企業SlowMistと連携して捜査している。

オンチェーン追跡を行うSlowMistによると、盗まれた資産のうち25万ドル相当のUSDTは、KYC（顧客確認）なしで利用できる仮想通貨交換サービス「ChangeNOW」や「SideShift.」に預入された。

Bo Shen氏のイーサリアムアドレス（0x6～c5e894）から奪われた約3,823万ドル相当のUSDCはDeFiプロトコルAaveを通してDAIに交換され、大部分が（0x66～ae14）で保持されている。これによりUSDC発行企業Circle氏による、アカウント凍結を回避した。

To sum up, a simple money flow shows that the hacker transferred 38M $USDC to a flash-loan contract, the hacker used the $USDC to pay the debt and lend $DAI.
Tx hash:https://t.co/vJH2ltFV62 pic.twitter.com/e8NtOQkLRr
— 0xScope (@ScopeProtocol) November 23, 2022

SlowMistによると不正流出の原因は、24個の単語で形成されるニーモニックフレーズが何らかの原因で漏洩したこと。事件前日にBo Shen氏はFTX.USから資金を引き出していた。同氏は当時、ウェブ・モバイルウォレット「Trust Wallet」を使用していたという。

Trust WalletはMetaMaskと同様にソフトウェアベースのホットウォレットと呼ばれ、デバイスに秘密鍵を暗号化形式で保管し、インターネットに接続して使用する。TrezorやLedgerなどコールドウォレットに比べて使い勝手が良いが、セキュリティ面で劣る。

過去にはウォレットのアカウントを復元する時に利用するニーモニックフレーズ（シークレットリカバリーフレーズ）が暗号化されずに中央サーバーに保存され、漏洩する事例も報告されている。

22年8月にPhantomやSlope等のソラナ関連のホットウォレットから、暗号資産（仮想通貨）SOL及び「SPL規格で発行されたトークン」が流出。被害を受けたアドレスは約8,000件に上り、推定10億円（800万ドル）程の資産が攻撃者が管理する4つのアドレスに送られた。

ソラナ財団によれば、被害に遭ったウォレットアドレスは、いずれもモバイルウォレットアプリ「Slope」で作成されたり、Slopeにインポートして使用されていたもの。Slopeの中央サーバーに「平文（暗号化されていないデータ）」で秘密鍵とニーモニックが送信されており、大規模な情報漏洩を招いた疑いがある。

関連：ソラナ財団、ハッキングの原因特定に成功

（編集済み）