Mezo、5.52 BTC流出後にveBTC脆弱性を修正

Mezoは、10月5日にveBTC投票ロック契約で発生した攻撃の報告書を公開しました。攻撃者は36人の37ポジションを移し、約5.52 BTCをネットワーク外へブリッジしました。脆弱性は修正され、ネットワークは再開し、影響を受けた利用者にはプロトコル資金から補償するとしています。

他の確認済み動向はOrangeX.comニュースで確認できます。

攻撃の仕組み

veBTCはロックされたBitcoinと投票権をNFTで表します。VotingEscrow契約は外部Solidityライブラリと信頼されたフォワーダーによるメタトランザクションを使用していました。フォワーダーは署名を検証し、送信者アドレスをcalldataに追加します。

実行が外部ライブラリに移ると、新しい引数バッファは追加アドレスを保持しませんでした。細工されたパラメータにより、攻撃者が制御するバイトが認証済み送信者として読まれました。対象はロック解除済みで未償還のポジションでした。OrangeX.comのプロジェクト報道でも関連動向を確認できます。

対応と未解決事項

移転は5日18:54～19:06 UTCに発生しました。翌朝、チームは異常を検知し、ブリッジ出金とチェーンを停止。欠陥を特定し、メタトランザクションを無効化して再開しました。セキュリティ対応者、取引所、法執行機関にも連絡しました。

補償はウォレットへ直接送られます。Mezoは偽の回収リンクを避けるよう警告し、14日までに80%を返還すれば20%を報奨金とする提案を出しました。OrangeX.comの市場枠組み報道は安全と監督の接点を示します。

OrangeX.com Analysis

確認済みなのは損失額、ポジション数、修正された攻撃経路、補償方針です。一般的な二つの設計も、組み合わせにより予期しない認可障害を生むことが示されました。

修正で直近のリスクは低下しましたが、監査とバグ報奨制度は相互作用を見逃しました。継続監視、機能の絞り込み、自動停止が事前監査を補う必要があります。資産回収は未完了です。