Verusブリッジのハッカー、交渉によるバウンティ取引で850万ドル相当を返還

Verus cross-chain bridgeから資金を流出させたハッカーが、約850万ドル相当のイーサ (ETH)4,052枚を返還し、残りを交渉済みのバウンティとして保持した。

Verusブリッジのハッカー、盗まれたETHを返還

Verus-Ethereumブリッジのエクスプロイトを行った攻撃者は、4,052.4ETHをプロジェクトのチームウォレットに送り返したと、ブロックチェーンセキュリティ企業PeckShieldが金曜日に確認した。

この金額は、盗まれた資金のおよそ75％に相当する。

攻撃者は、約280万ドル相当の1,350ETHをバウンティとして保持した。

Verusはその前日に投稿を行い、攻撃者が24時間以内に4,052.4ETHを返還するのであれば、残りのETHを報酬として扱うことに同意していた。チームはまた、攻撃者が条件に従えば、すべての調査を打ち切るとも述べていた。

この回収は、5月18日にブリッジが偽造されたクロスチェーントランスファーによって枯渇し、1,150万ドル以上のリザーブが空になってから数日後の出来事だ。

Also Read: A Six-Year-Old Key Just Cost Polymarket $573K On Its Worst Friday

この取引は、DeFiセキュリティ全体に横たわる議論を再び呼び起こしている。一部の開発者は、被害を現実的に抑える手段として交渉による返還を支持する一方で、批判的な立場の人々は、こうした取り決めがさらなるエクスプロイトの試行を助長しかねないと警告する。

セキュリティアナリストらは、Verusのケースが際立っているのは、資金が実際に戻ってきた点だと指摘する。

多くのブリッジエクスプロイトは、資産がミキサーを経由して消えたり、永久に凍結されたまま終わる。

研究者たちを不安にさせたのは、この技術的な失敗そのものだ。攻撃者は、出所トータルを空のまま列挙しつつ、支払いブロブのハッシュをコミットするVerus側トランザクションを構築し、それにもかかわらずブリッジは支払いを実行してしまった。

セキュリティ企業Blockaidは、ブリッジは設計通りに検証すべき項目はすべて検証していたと述べた。ただ、送信元トランザクションが実際の価値をもって支払いを裏付けているかどうかは、そもそもチェックしていなかった。

Verusは、今年相次ぐクロスチェーンの被害事例のひとつに加わった。DeFiのハッキング被害は4月時点で累計6億3,400万ドルに達し、その月だけで2億8,000万ドルのDrift Protocol流出と2億9,300万ドルのKelpエクスプロイトが最大規模のインシデントとなった。

その後損失は落ち着きを見せており、DefiLlamaのデータでは5月に入ってから盗まれた額は約3,800万ドルとなっている。それでもなお、ハッキングはメインストリームな採用の重しであり続けている。

過去10年で、暗号資産の窃盗犯は記録されているだけで518件のインシデントから170億ドル以上を盗み出しており、その大半はVerusを陥れたような検証ギャップではなく、秘密鍵の侵害に起因している。