Verusブリッジのハッカー、交渉によるバウンティ取引で850万ドル相当を返還

Verus cross-chain bridge から資金を抜き取ったハッカーが、約850万ドル相当の Ether (ETH) 4,052ETH を返還し、残りを合意済みのバウンティとして保持した。

Verusブリッジのハッカーが盗難ETHを返還

Verus-Ethereumブリッジの悪用攻撃を行ったアタッカーは、4,052.4ETHをプロジェクトのチームウォレットに送り返したと、ブロックチェーンセキュリティ企業 PeckShield が金曜日に確認した。

この額は盗まれた資金のおよそ75％に相当する。

攻撃者は、約280万ドル相当となる1,350ETHをバウンティとして保持した。

Verus はその前日に投稿し、24時間以内に4,052.4ETHを返還すれば、保持分のETHを報酬として扱うと提案していた。チームはまた、攻撃者が条件に従った場合には、すべての調査を打ち切ると述べていた。

この資金回収は、5月18日にブリッジが偽造されたクロスチェーントランスファーによって枯渇し、1,150万ドル超のリザーブが空になってから数日後の出来事だ。

Also Read: A Six-Year-Old Key Just Cost Polymarket $573K On Its Worst Friday

この取引は、DeFiセキュリティ全体を貫く議論を再び呼び起こしている。開発者の中には、現実的な被害抑制策として交渉による返還を支持する者もいれば、そのような取り決めがさらなる悪用を促すと警告する批判派もいる。

セキュリティアナリストは、今回のVerusのケースは資金が実際に戻ってきた点で際立っていると指摘する。

多くのブリッジ攻撃は、資産がミキサーを通じて消え去るか、永久に凍結されたまま終わる。

研究者たちを不安にさせたのは、その技術的な失敗だ。攻撃者は、支払いデータのハッシュをコミットしつつ、ソースの合計を空欄にしたVerus側トランザクションを作成し、それにもかかわらずブリッジは支払いを行ってしまった。

セキュリティ企業Blockaidによれば、ブリッジは設計通りに検証すべき項目はすべて検証していたという。単に、ソーストランザクションが実際の価値をもって支払いを裏付けているかどうかを一度もチェックしていなかっただけだった。

Verusは、今年相次ぐクロスチェーンプロトコルの被害の一例に加わった形だ。DeFiハックは4月時点で累計6億3,400万ドルに達し、そのうち2億8,000万ドルのDrift Protocol侵害と2億9,300万ドルのKelp攻撃が月間のトップを占めた。

その後、損失ペースは落ち着きを見せており、DefiLlamaのデータでは5月これまでの盗難額は約3,800万ドルとなっている。それでも、ハッキングは依然としてメインストリーム採用の大きな足かせだ。

過去10年で、暗号資産窃盗犯は518件の記録されたインシデントを通じて、合計170億ドル以上を盗み出しており、その大半は、Verusを倒したような検証ギャップではなく、侵害された秘密鍵に起因している。