Wasabi Protocolが大規模なハッキング被害を受け、Ethereum、Base、Blast、Berachainの4つのブロックチェーンで550万ドル以上の損失が発生しました。
今回の被害は脆弱性に起因するものですが、これまでの調査では、プロトコル自身のスマートコントラクトコードの欠陥によるものではないことが確認されています。むしろ、ハッキングはデプロイヤーウォレットの侵害によるものであり、分散型金融（DeFi）の根強い弱点の一つである、中央集権的なガバナンスへの過度な依存が露呈しました。
セキュリティアナリストはほぼ即座にこのインシデントを察知し、攻撃がサポートされている各チェーン全体にわたって迅速かつ一貫した手法で進行したことを確認しました。この出来事は、コード以外の脆弱性がいかに壊滅的な被害をもたらすかを示す典型例として、暗号資産コミュニティのメンバーから大きな注目を集めています。
攻撃によって実行された管理者権限の悪用
攻撃者は非常に組織的な方法で管理システムを悪用しました。まず、アクセス権を持つ者が作成できる一連のダイナミックノードを制御しているマスター役割を侵害しました。
このアクセス権を利用して、攻撃者はgrantRoleを呼び出し、悪意ある新しいコントラクトに即座に管理者権限を付与しました。この操作の核心は、システムがタイムロックなしで役割の割り当てを許可していたため、すべての遅延保護をバイパスできた点にあります。
管理制御を取得した後、攻撃者はオーケストレーターコントラクトをデプロイし、各ボールトに対してストラテジーデポジットを順次呼び出しました。コントラクトが管理者レベルの権限を持つようになったことで、アクセスを制限するための唯一の管理者修飾子が無効化されました。
これにより攻撃者はボールトから直接資産を引き出し、4つのチェーン全体のEOAに資金を送金することができました。攻撃の速度と正確さから、攻撃者はすでにシステムアーキテクチャとその脆弱性を熟知していたことがうかがえます。
即時復旧措置により侵害されたアクセスを無効化
その後、侵害された鍵の権限を迅速に無効化するためのオンチェーン措置が講じられました。重要な役割（ADMINや、100、101、102、103などの役割識別子）がすべて、元の侵害されたデプロイヤーウォレットから削除されました。これにより、プロトコル上で攻撃者に残っていた管理者アクセスが完全に排除されました。その結果、この特定の攻撃ベクターは封じられました。
アナリストによると、侵害された鍵はこれ以上の不正操作には使用できなくなっており、これはインシデントの阻止における重要な一歩です。しかし、アクセスが回復したとはいえ、盗まれた残りの資金は現時点では回収手段がなく、攻撃者のウォレット内にとどまっています。
プロトコルのユーザーは価値のないLPトークンを抱えたまま取り残されており、現在は補償プランの発表を待っている状況です。この侵害はユーザーに多大な影響を与えています。この件では、ユーザーウォレットに残っている流動性プロバイダー（LP）シェアトークンは、ボールトが保有する資産が引き出されたことで、少なくとも当面の間、その価値を失っています。
Wasabi Protocolチームはインシデントを確認し、調査が進行中であると発表しました。追加のリスクを軽減するため、追って通知があるまで、ユーザーはWasabiのコントラクトの使用を避けることを強くお勧めします。SEAL 911やBlockaidなどのセキュリティ企業がプロトコルチームと直接連携し、被害の全容把握と修正措置の策定に取り組んでいます。現在、コミュニティは信頼回復とユーザーの損失補填に不可欠な補償プランに関する情報を待ち望んでいます。
Virtuals Protocol、Wasabi関連機能の凍結で対応
今回のエクスプロイトは、Wasabiのインフラを特定のシステムに利用しているVirtuals Protocolなど、接続されたプラットフォームにも繰り返し影響を与えています。
Virtuals ProtocolはWasabiに関連する証拠金入金を凍結することで迅速に対応しました。予防措置を講じつつ、コア機能である取引、出金、エージェント機能は引き続き稼働していることを確認しました。
状況はまだ展開中であるため、ユーザーはWasabiに関するいかなる取引にも署名しないよう警告されています。チームは、これらの制限は一時的なものであり、アップストリームシステムの完全性を確保できるまで維持されると強調しました。
ZachXBT、基本的なセキュリティ保護の欠如を批判
このエクスプロイトは、管理制御の使用に関する継続的な議論の中で、DeFiにおけるセキュリティ慣行の成熟度について新たな議論を呼び起こしました。ブロックチェーン分析の専門家ZachXBTは、マルチシグのような基本的な安全策がなく、タイムロックもかけられない状態で、単一の外部所有アカウント（EOA）にこれほど広範な制御権限が与えられていた理由に疑問を呈しました。
彼の批判は業界における広範なトレンドを示しています。スマートコントラクトは定期的に広範な監査を受けているものの、日常のセキュリティおよびガバナンス構造は脆弱なままであることが多いという現状です。
今年4月、コード以外のエクスプロイトが増加
Wasabiのインシデントは、4月を通じて拡大しているある傾向の典型例です。それは、スマートコントラクトの欠陥ではなく、管理セキュリティの問題に起因する大規模なエクスプロイトの台頭です。
今回のケースでは、コントラクトロジックは設計通りに機能していました。信頼モデルが崩壊したのです。S1が追加の保護層なしに単一の管理者鍵でアップストリームを制御していたことがその原因です。
このパターンは脅威の状況の変化を示しています。攻撃者は侵害が難しいコードへのハッキングをますます試みなくなり、代わりにガバナンスおよび運用上の脆弱性に焦点を当てた最も抵抗の少ない経路を選ぶようになっています。
開発者とプロトコルの双方への教訓は、セキュリティはコード監査にとどまらず、厳格な鍵管理ポリシー、アクセス制御、フェイルセーフメカニズムの確保まで及ぶということです。
調査が続き、さらなる詳細が明らかになる中、Wasabiのエクスプロイトは分散型金融が直面するリスクの高まりを示す重要な事例となりそうです。
免責事項：これは取引や投資のアドバイスではありません。暗号資産を購入したり、サービスに投資したりする前に、必ずご自身でリサーチを行ってください。
Twitterでフォローしてください @nulltxnews 最新の暗号資産、NFT、AI、サイバーセキュリティー、分散コンピューティング、メタバースニュースをお届けします！
Source: https://nulltx.com/wasabi-protocol-exploit-drains-5-5m-across-four-chains-as-compromised-admin-key-exposes-critical-security-flaw/
