Poolzプロジェクトが攻撃を受け、約66.5万ドルの損失

最近、多チェーンプロジェクトPoolzに対する攻撃事件が業界の注目を集めています。ブロックチェーン監視データによると、攻撃は2023年3月15日に発生し、Ethereum、Binance、Polygonの3つのチェーンが関与しています。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

攻撃者はMEE、ESNC、DON、ASW、KMON、POOLZなど、複数のトークンを成功裏に盗み、総額約66.5万ドルに相当します。現在、一部の盗まれた資産はBNBに交換されていますが、攻撃者のウォレットからはまだ移動されていません。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

今回の攻撃は、Poolzプロジェクトのスマートコントラクトにある算術オーバーフローの脆弱性を主に利用しました。攻撃者はCreateMassPools関数を呼び出すことで、getArraySum関数の整数オーバーフローの問題を巧妙に利用しました。具体的には、攻撃者は特別な配列を構築し、累積結果がuint256の最大値を超えるようにして、関数の戻り値を1にしました。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

しかし、契約はプールの属性を記録する際に実際に転入されたトークンの数量ではなく、元の入力値を使用しました。これにより、攻撃者は1つのトークンを転入するだけで、システムに巨大な数値を記録できるようになりました。その後、攻撃者はwithdraw関数を通じて実際に預け入れた量をはるかに超えるトークンを引き出し、攻撃を完了しました。

この出来事は再びスマートコントラクトのセキュリティの重要性を浮き彫りにしました。同様の問題を防ぐために、開発者はオーバーフロー検査機能を内蔵した新しいバージョンのSolidityコンパイラの使用を検討すべきです。古いバージョンのSolidityを使用しているプロジェクトには、OpenZeppelinが提供するSafeMathライブラリを利用して整数オーバーフローリスクを回避することができます。

今回の攻撃は、見た目には簡単な数学演算であっても、ブロックチェーン環境では深刻なセキュリティリスクをもたらす可能性があることを私たちに思い出させます。プロジェクトチームは、ユーザー資産の安全を確保するために、スマートコントラクトの設計と監査をより慎重に行う必要があります。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!