Pumpプラットフォーム遭遇安全事件分析

近日、Pumpプラットフォームで深刻なセキュリティ事件が発生し、多くのユーザーの資金が損なわれました。本稿では、この事件の経緯を詳しく分析します。

攻撃プロセス

攻撃者は高度なハッカーではなく、むしろPumpプラットフォームの元従業員である可能性が高いです。彼はPumpが特定のDEX上でトークン取引ペアを作成するための権限を持ったウォレット、私たちはこれを「被害者アカウント」と呼びます。また、Pump上でまだ特定のDEX基準に達していないすべてのBonding Curve LPプールを、私たちは「準備アカウント」と呼びます。

攻撃者はまず、ある貸出プラットフォームからフラッシュローンを取得し、上場基準に達していないすべてのトークンプールを埋めるために使用しました。通常、プールが上場基準に達した時に、「準備口座」のSOLが「被害口座」に転送されるべきですが、攻撃者はその時に転送されたSOLを引き抜き、これら本来上場しロックされるはずのトークンが期日通りに上場できなくなりました。

被害者分析

分析によると、被害者は主に攻撃が発生する前にPumpプラットフォームでまだプールが満たされていないトークンを購入したユーザーです。彼らのSOLは上記の攻撃手段によって奪われました。これにより、初期の損失見積もりが8000万ドルに達する可能性がある理由が説明されます（最新のデータでは実際の損失は約200万ドルです）。

注目すべきは、すでにあるDEXに上場しているトークンはLPがロックされているため、今回の攻撃の影響を受けるべきではないということです。

攻撃者の身元推測

攻撃者は"被害者アカウント"の秘密鍵を所有しており、これはプラットフォームの権限管理における重大な怠慢を明らかにしています。トークンプールを満たすことが攻撃者の以前の職務の一つであった可能性があると推測できます。

他のプラットフォームのやり方に類似して、Pumpはコールドスタートを実現するために、その従業員にプロジェクト資金を使って新しく発行されたトークンのプールを充填させることを任せた（おそらく多くは自分が発行したテストトークンである）。そのため、これらのトークンは取引所に上場され、熱を生み出すことができるはずだった。しかし、これが最終的に内部の脅威の突破口となるとは思いもしなかった。

学んだ教訓

1. 類似のプロジェクトにおいて、表面的な模倣だけでは不十分です。ユーザーを取引に引き込むためには、初期の推進力を提供する必要があります。

2. プロジェクトチームは権限管理とセキュリティ対策を重視する必要があります。権限の適切な配分、定期的な監査、内部リスクの防止が極めて重要です。

3. ユーザーは新興プラットフォームに参加する際に警戒を怠らないべきであり、特に完全に満たされていない、または主流の取引所に上場されていないトークン取引に関しては注意が必要です。

4. プロジェクトチームは、単一障害リスクを低減するために、マルチシグネチャ、権限の階層化などを含むリスク管理メカニズムを確立する必要があります。

5. 定期的なセキュリティ監査とペネトレーションテストを実施し、潜在的な脆弱性を迅速に発見して修正します。

6. 従業員のトレーニングと倫理教育を強化し、健全な企業文化を確立し、内部の脅威リスクを低減します。

この事件は、急速に発展する暗号通貨業界において、セキュリティが常に最優先事項であることを再度私たちに思い出させます。プロジェクト側もユーザーも、常に警戒を怠らず、必要なセキュリティ対策を講じる必要があります。