Poly Networkのハッキングインシデントの分析

近日、クロスチェーン相互運用プロトコルのPoly Networkがハッカーの攻撃を受け、広く注目を集めました。セキュリティチームの分析によると、今回の攻撃はkeeperの秘密鍵の漏洩によるものではなく、攻撃者が巧妙に構築したデータを通じて、EthCrossChainData契約のkeeperを指定されたアドレスに変更しました。

攻撃コア

この攻撃の核心は、EthCrossChainManagerコントラクトのverifyHeaderAndExecuteTx関数にあります。 この機能は、_executeCrossChainTx機能を通じて特定のクロスチェーントランザクションを実行できます。 EthCrossChainData コントラクトの所有権は EthCrossChainManager コントラクトに属しているため、後者は前者の putCurEpochConPubKeyBytes 関数を呼び出して、コントラクトのキーパーを変更できます。

攻撃プロセス

1. 攻撃者は、verifyHeaderAndExecuteTx関数を使用して、細工されたデータを渡す可能性があります。
2. _executeCrossChainTx関数を介して、EthCrossChainDataコントラクトへのputCurEpochConPubKeyBytes関数呼び出しを実行します。
3. 成功してkeeperの役割を攻撃者が指定したアドレスに変更しました。
4. keeperの置き換えが完了すると、攻撃者は自由に取引を構築し、契約から任意の金額を引き出すことができます。

攻撃の影響

1. 攻撃が完了した後、keeperが変更されたため、他のユーザーの正常な取引が拒否されました。
2. 類似の攻撃パターンもイーサリアムネットワーク上で実施されています。

!

イベントの啓示

1. 契約設計には、より厳格な権限管理メカニズムが必要です。
2. 重要な関数の実行には複数の検証ステップが必要です。
3. 定期的なセキュリティ監査と脆弱性検査は非常に重要です。
4. クロスチェーン操作の安全性は、より多くの注意と改善が必要です。

今回の事件は、特に複雑なクロスチェーンのシナリオにおいて、ブロックチェーンのセキュリティの重要性を再び浮き彫りにしました。開発チームは、ますます複雑化する攻撃手段に対処するために、セキュリティ対策を継続的に改善する必要があります。同時に、ユーザーもセキュリティ意識を高め、さまざまなブロックチェーンプロジェクトに慎重に参加するべきです。