ハッカーはHyperbridgeのクロスチェーンブリッジの脆弱性を利用し、空から10億枚のDOTトークンを鋳造しました。額面価値は11.9億ドルに達しますが、市場の流動性不足により、最終的には約23.7万ドルしか現金化できませんでした。
暗号通貨の攻撃事件は絶えませんが、こうした「大きなリスクを取って小さな利益を得る」ケースはあまり見られません。今日（13日）早朝、ハッカーはHyperbridgeのクロスチェーンブリッジの脆弱性を突き、イーサリアム上で空から10億枚のPolkadot（DOT）トークンを鋳造し、その名目価値は11.9億ドルに達しました。しかし、これらのトークンを売却しようとした際、市場の流動性不足により、最終的には約23.7万ドルのイーサリアムしか得られませんでした。
確認すべき点は、ハッカーの攻撃対象は「クロスチェーンブリッジのスマートコントラクト」であり、Polkadotメインネット上のネイティブDOTトークンには影響がなかったことです。この脆弱性の原因は、HyperbridgeのEthereumHostコントラクトが、クロスチェーンメッセージをTokenGatewayに渡す前に、その真偽を正しく検証できなかったことにあります。
出典：X/@OnchainLens
クロスチェーンブリッジはブロックチェーンアーキテクチャの中で最も脆弱な部分であり、トークンコントラクトの管理権限を握っているため、検証メカニズムに破綻が生じると、ハッカーは簡単に無限にトークンを鋳造する権利を得ることができます。
オンチェーンの追跡によると、ハッカーはdispatchIncomingを通じて偽造メッセージを送信し、それをTokenGateway.onAcceptに成功裏に導きました。通常、システムはPolkadotチェーン上の状態に基づいてこのメッセージの真偽を確認すべきですが、検証機構は約束値を「ゼロ」に記録しており、これは検証プロセスが完全に回避されたか、存在しなかったことを意味します。その結果、システムはこの偽のメッセージを合法的な指示と誤認しました。
受け入れられたメッセージは直ちに、橋渡しされるPolkadotトークンコントラクトのchangeAdmin機能を実行し、管理者権限を攻撃者のアドレスに移譲しました。管理権を取得した攻撃者は、単一の取引で10億枚のDOTを鋳造し、Odos Router V3を通じてこれらのトークンをUniswap V4のDOT-ETHプールに投入、多回にわたり異なる価格で交換を行った後、最終的に約108.2イーサを引き出しました。
金融市場では、「流動性不足」は巨大な投資家にとって最も頭を悩ませる問題ですが、皮肉なことに、今回の流動性不足は逆に見えない防護罩となり、ハッカーの利益獲得を大きく制限しました。
イーサリアム上のDOTの流動性は非常に乏しく、これだけの10億枚のトークンを消化できるはずもなく、ハッカーが急いで売却して現金化しようとすると、価格が大きく崩れ、実際の価格は1セント未満にまで下落しました。
もしもより深い流動性や高い価値を持つブリッジ資産で同じ脆弱性があった場合、数十倍の損失をもたらした可能性もあります。執筆時点で、DOTの取引価格は約1.17ドルであり、過去24時間で5％下落しています。
この事件は再び示しています：ハッカーが「無限鋳造権」を持っていても、最終的にアービトラージに成功するかどうかは、市場の流動性と取引の深さに依存するということです。著名なブロックチェーンセキュリティ機関CertiKはこの攻撃を確認し、ハッカーは橋渡しトークンの鋳造と売却を通じて約23.7万ドルの利益を得たと発表しました。
現時点では、Hyperbridgeの公式はこのハッカー事件について公式コメントを出していません。
出典：X/@CertiKAlert
121.2K 人気度
42.81K 人気度
29.81K 人気度
776.17K 人気度
749.22K 人気度
暗号通貨界で最もひどい強盗事件？ハッカーが10億ドル相当のDOTコインを鋳造したが、盗んだのはわずか23万ドルだけ
ハッカーはHyperbridgeのクロスチェーンブリッジの脆弱性を利用し、空から10億枚のDOTトークンを鋳造しました。額面価値は11.9億ドルに達しますが、市場の流動性不足により、最終的には約23.7万ドルしか現金化できませんでした。
暗号通貨の攻撃事件は絶えませんが、こうした「大きなリスクを取って小さな利益を得る」ケースはあまり見られません。今日（13日）早朝、ハッカーはHyperbridgeのクロスチェーンブリッジの脆弱性を突き、イーサリアム上で空から10億枚のPolkadot（DOT）トークンを鋳造し、その名目価値は11.9億ドルに達しました。しかし、これらのトークンを売却しようとした際、市場の流動性不足により、最終的には約23.7万ドルのイーサリアムしか得られませんでした。
確認すべき点は、ハッカーの攻撃対象は「クロスチェーンブリッジのスマートコントラクト」であり、Polkadotメインネット上のネイティブDOTトークンには影響がなかったことです。この脆弱性の原因は、HyperbridgeのEthereumHostコントラクトが、クロスチェーンメッセージをTokenGatewayに渡す前に、その真偽を正しく検証できなかったことにあります。
出典：X/@OnchainLens
クロスチェーンブリッジはブロックチェーンアーキテクチャの中で最も脆弱な部分であり、トークンコントラクトの管理権限を握っているため、検証メカニズムに破綻が生じると、ハッカーは簡単に無限にトークンを鋳造する権利を得ることができます。
攻撃手法：偽造メッセージ、管理権の奪取、無限鋳造
オンチェーンの追跡によると、ハッカーはdispatchIncomingを通じて偽造メッセージを送信し、それをTokenGateway.onAcceptに成功裏に導きました。通常、システムはPolkadotチェーン上の状態に基づいてこのメッセージの真偽を確認すべきですが、検証機構は約束値を「ゼロ」に記録しており、これは検証プロセスが完全に回避されたか、存在しなかったことを意味します。その結果、システムはこの偽のメッセージを合法的な指示と誤認しました。
受け入れられたメッセージは直ちに、橋渡しされるPolkadotトークンコントラクトのchangeAdmin機能を実行し、管理者権限を攻撃者のアドレスに移譲しました。管理権を取得した攻撃者は、単一の取引で10億枚のDOTを鋳造し、Odos Router V3を通じてこれらのトークンをUniswap V4のDOT-ETHプールに投入、多回にわたり異なる価格で交換を行った後、最終的に約108.2イーサを引き出しました。
「流動性不足」が逆に防護罩に
金融市場では、「流動性不足」は巨大な投資家にとって最も頭を悩ませる問題ですが、皮肉なことに、今回の流動性不足は逆に見えない防護罩となり、ハッカーの利益獲得を大きく制限しました。
イーサリアム上のDOTの流動性は非常に乏しく、これだけの10億枚のトークンを消化できるはずもなく、ハッカーが急いで売却して現金化しようとすると、価格が大きく崩れ、実際の価格は1セント未満にまで下落しました。
もしもより深い流動性や高い価値を持つブリッジ資産で同じ脆弱性があった場合、数十倍の損失をもたらした可能性もあります。執筆時点で、DOTの取引価格は約1.17ドルであり、過去24時間で5％下落しています。
この事件は再び示しています：ハッカーが「無限鋳造権」を持っていても、最終的にアービトラージに成功するかどうかは、市場の流動性と取引の深さに依存するということです。著名なブロックチェーンセキュリティ機関CertiKはこの攻撃を確認し、ハッカーは橋渡しトークンの鋳造と売却を通じて約23.7万ドルの利益を得たと発表しました。
現時点では、Hyperbridgeの公式はこのハッカー事件について公式コメントを出していません。
出典：X/@CertiKAlert