Fetch.aiのコンバージョン契約が悪用され201万ドルが流出、攻撃者はNuNetと関連か
TREE NEWS 報道： Fetch.aiが運営するイーサリアム上のコンバージョン契約が悪用され、約201万ドル相当の暗号資産が失われた。オンチェーンセキュリティプラットフォームのBlockaidは、脆弱な契約をTokenConversionManagerV3と特定し、有効なコンバージョン認可を持つ外部所有アカウント（EOA）によって資金が引き出されたと述べている。攻撃者のアドレスは、Fetch.aiエコシステム内の分散型コンピューティングプロジェクトであるNuNetと関連付けられている。
悪用の経緯
Blockaidによると、攻撃者は正規のコンバージョン認可を利用して悪用を実行した。TokenConversionManagerV3契約は、Fetch.aiのネイティブトークンであるFETを異なるブロックチェーンネットワーク間で変換するためのもので、同プロジェクトのマルチチェーン戦略における中核インフラの一部である。攻撃者は、鍵の漏洩、フィッシング攻撃、あるいは認可ロジックの欠陥など、何らかの方法で有効な認可を取得し、直ちに警報を発することなく資金を引き出すことができた。
NuNetとの関連は特に懸念される。NuNetは、分散型コンピューティングリソースに焦点を当てたFetch.aiエコシステム内の姉妹プロジェクトである。攻撃者のアドレスがNuNetに関連している場合、内部関係者による脅威、チームメンバーの侵害、あるいは単一の契約を超えた広範なセキュリティ侵害を示している可能性がある。
業界への影響
この事件は、DeFiにおけるクロスチェーン変換メカニズムと認可システムが直面する持続的なリスクを浮き彫りにしている。コンバージョン契約はしばしば多額の流動性を保有し、信頼された役割やオフチェーン署名に依存しているため、魅力的な標的となる。攻撃者が有効な認可を使用したという事実は、この悪用が純粋なスマートコントラクトのバグではなく、運用上のセキュリティの失敗によって可能になった可能性を示唆している。
- 認可管理が極めて重要： プロジェクトはコードだけでなく、鍵管理、役割の割り当て、オフチェーン署名プロセスも監査する必要がある。
- クロスチェーンブリッジとコンバーターは依然として高リスク： これらのコンポーネントは流動性を集約し、しばしば複雑な信頼前提を持つため、頻繁に標的とされる。
- エコシステムへの波及： NuNetとの関連は、単一の侵害されたアドレスが相互接続されたエコシステム内の複数のプロジェクトを汚染し得ることを浮き彫りにしている。
今後の展望
Fetch.aiはまだ詳細なポストモーテムを公表していないが、この事件は、マルチシグ要件、タイムロック付きコンバージョン、Blockaidのようなセキュリティ企業によるリアルタイム監視など、より堅牢な認可フレームワークへの要求を加速させる可能性が高い。より広範なDeFiセクターにとって、この悪用は、監査済みの契約であっても特権アクセスが悪用されれば回避され得ることを思い起こさせるものだ。投資家やユーザーは、Fetch.aiとNuNetからのさらなる開示、および盗まれた資金のオンチェーン上の動きに注目すべきである。それは攻撃者の身元と意図に関する手がかりを提供する可能性がある。
