Pump スマートコントラクト漏洞事件解析

最近、Pumpプラットフォームはスマートコントラクトの脆弱性事件に見舞われ、約200万ドルの損失を被りました。本記事では、事件の経緯、攻撃手法およびその影響について詳細に分析します。

攻撃プロセスの解析

攻撃者は高度なハッカーではなく、おそらく Pump の元従業員です。彼はある分散型取引プラットフォームでトークン取引ペアを作成するための権限を持つウォレットを掌握しており、私たちはこれを「脆弱性アカウント」と呼びます。Pump でまだ上場基準に達していないトークン流動性プールは「準備アカウント」と呼ばれています。

攻撃者は最初にある貸出プラットフォームからフラッシュローンを取得し、上場基準に達していないすべてのトークンの流動性プールを満たしました。通常、プールが上場基準に達すると、準備アカウント内のSOLが脆弱性アカウントに転送されます。しかし、攻撃者はこの過程で転送されたSOLを引き抜いたため、これらのトークンは予定通り上場できなくなりました（プールの資金が不足しているため）。

被害者分析

分析によると、被害者は主に攻撃が発生する前に、Pumpプラットフォームでまだ完全に満たされていないプールのトークンを購入したユーザーです。これらのユーザーのSOLは上述の攻撃手法によって移動され、これが損失額がこれほど大きい理由を説明します。

注意すべきは、すでに上場しているトークンは流動性がロックされているため、影響を受けることはないだろうということです。また、フラッシュローンの資金は同じブロック内で返済されているため、貸借プラットフォームも損失を被っていません。

脆弱性の原因に関する考察

この事件は、Pumpプラットフォームの権限管理に深刻な欠陥があることを暴露しました。推測では、攻撃者はトークンプールの充填作業を担当していた可能性があり、これは一部のプラットフォームが初期段階で熱を生み出すために採用したマーケットメイキング戦略に似ています。

Pump プラットフォームは、コールドスタートを実現するために、攻撃者にプロジェクト資金を委託して新しく発行されたトークンのプール（$test、$alon など）を充填させることがあります。これにより、これらのトークンが上場し、注目を集めることができるようになります。しかし、これは最終的にセキュリティのリスクとなります。

学んだ教訓

1. 権限管理は非常に重要です：プロジェクト側は重要な権限を厳格に管理し、定期的にキーを更新し、マルチシグなどのセキュリティ対策を実施する必要があります。

2. 初期流動性戦略は慎重に行う必要があります：新しいプロジェクトに初期の推進力を提供することは重要ですが、安全性と効果のバランスを見つける必要があります。

3. コード監査は不可欠です：定期的に包括的なスマートコントラクトの監査を行い、潜在的な脆弱性を迅速に発見し修正します。

4. 緊急対応メカニズム：迅速な対応メカニズムを構築し、安全事件が発生した際に迅速に行動を取ることができ、損失を最小限に抑える。

5. 透明性とコミュニケーション：事件が発生した後、迅速かつ透明にコミュニティとコミュニケーションを取り、状況を説明し、是正策を提案することは、ユーザーの信頼を維持するのに役立ちます。

この出来事は、急速に発展する暗号通貨の分野において、セキュリティが常に最優先事項であることを再度思い起こさせます。プロジェクトチームはセキュリティ対策を常に改善し、ユーザーも警戒を怠らず、さまざまな新興プロジェクトに慎重に参加するべきです。