KuCoin Exchange Japanese

27 Feb 2025 15:28

今日は俺たち、Safeの1.3.0のGuardについて学んだで

KuCoin Exchange Japanese

27 Feb 2025 15:27

逆にみんなも長いことありがとう！！！！！

KuCoin Exchange Japanese

27 Feb 2025 15:21

レベル3: 究極の安全策としてのセーフロック
予防モデルの 3 番目で最後の部分は、Safe Lock 機能です。Safe Lock は、アプリの検出または人間の入力によってトリガーされる悪意のあるトランザクションの署名を一時停止またはブロックできます。ここでは、リアルタイム監視システムが、しきい値に達したこと、保留中のオンチェーン トランザクションがあることを知らせるアラートを生成します。

保留中であることが人間が読める形式で表示され、チームはトランザクションを拒否する時間枠が与えられます。Bybit の場合、悪意のあるトランザクションが署名され、誰も反応できないうちに実行されたため攻撃は成功し、47 分以内に 15 億ドルが失われました。Safe Lock は、何かがおかしいと感じた瞬間に承認プロセスを凍結し、Bybit のセキュリティ チームが調査と対応に必要な時間を確保できたはずです。47 分間の検出では遅すぎました。Safe Lock はそれを重要視しています。

さらに、プロトコルは、非常に大きな転送、大きな TVL 変更などの非常にリスクの高いトランザクション パターンに対して内部ガード (サーキット ブレーカー) を実装する必要があります。たとえば、Hacken Extractor にはすでにこのようなアクティビティの外部監視機能があり、このようなフローに対してファイアウォール (契約レベル) サーキット ブレーカーを導入する予定です。

KuCoin Exchange Japanese

27 Feb 2025 15:19

レベル1: リアルタイム検出のための自動監視
私たちのモデルの基盤は、Hacken Extractorアプリを利用した自動トランザクション監視です。このシステムは、オンチェーンとオフチェーンのアクティビティをリアルタイムで追跡し、問題の兆候となる異常をスキャンします。AI駆動型の動作分析により、アプリはUIの表示と実際のトランザクションペイロードの不一致など、疑わしいパターンを検出できます。Bybitの場合、署名者は安全だと思っていた偽装インターフェースに騙されました。私たちの自動監視は、トランザクションが完全に署名される前にその不一致を早期にフラグ付けし、システムまたは人間が介入する機会を与えていたでしょう。

KuCoin Exchange Japanese

27 Feb 2025 15:18

最近のセキュリティインシデントに対応して、2025年2月23日に臨時のPoR監査を実施し、Bybitが100%を超える準備金比率を維持していることを確認しました。ETH準備金は影響を受けましたが、取引所の多様な資産保有と強固な財務状況により、完全な支払い能力と安定性が確保されました。完全なレポートはこちらをご覧ください。

KuCoin Exchange Japanese

27 Feb 2025 15:16

この事件を受けて、BybitはLazarus Hack Bounty Programを立ち上げ、盗まれた資金を追跡し凍結するために1億4000万ドルの報奨金を用意した。このプログラムは資金回収に貢献した人に報酬を与え、回収された資金の10%は資金を凍結した団体と追跡に協力した団体に分配される。

Bybitは業界の専門家や関係当局と協力を続け、取引所、ミキサー、ブリッジに盗難資産の凍結に協力するよう求めている。これまでに盗難資金の3.03％が凍結され、90.23％は引き続き積極的に追跡されている。

資金回収に対する報奨金は前向きな一歩ですが、これは業界に、予防的なセキュリティは事後対応よりもはるかに費用対効果が高いことを思い起こさせる良い機会でもあります。Bybit は標準の 10% 報奨金モデルに従っていますが、予防的な報奨金プログラムを導入すると、通常はコストが大幅に削減されます。たとえば、HackenProof のバグ報奨金により、NEAR は 4,000 万ドルのエクスプロイトをわずか 100 万ドル (2.5%) の報奨金で阻止できました。これは、ハッキング後の標準料金の 5 分の 1 の安さです。

KuCoin Exchange Japanese

27 Feb 2025 15:11

https://hacken.io/insights/bybit-hack/?utm_source=hackenclub&utm_medium=post&utm_campaign=bybit-hack

KuCoin Exchange Japanese

27 Feb 2025 15:10

https://x.com/PeckShieldAlert

KuCoin Exchange Japanese

27 Feb 2025 15:09

https://x.com/osec_io

KuCoin Exchange Japanese

27 Feb 2025 15:07

そうなんですよね。
アップデートって、機能追加のイメージがありますが、不具合を修正する（バグフィックス）があるんですよね。。
本来は最新（もしくはメーカー推奨バージョン）で運用すべきなんですが...実際の運用となるとまた先ほどのハードルが.,.,w

KuCoin Exchange Japanese

27 Feb 2025 15:03

アップデートは正義なんですが、一つバージョンを上げるたびに検証したりシステム全体に影響を与える可能性があったりするんで、パッと上げられなかったりするんですよね。。

KuCoin Exchange Japanese

27 Feb 2025 14:59

一回でも凄い攻撃来てたら
より一層セキュリティ管理すると思うけど

彼らの凄い所はバレないようにバレないように偽装が凄いみたい👀

人を使ってやってるんだろうなぁと

KuCoin Exchange Japanese

27 Feb 2025 14:57

全く何もない状態から、恐らくあそこの取引所はこれを使ってるだろう・・・
だから侵入してコレを変えて・・
あれしてコレして・・・って

やってる内に、バレル可能性ある
その辺偽装してバレないようにしてたのも凄いけど・・・

流石にたどり着くまでに何かしら痕跡は残すと思うんだけど
残らないぐらいって事は、内部情報多少なり得て無いと・・・

KuCoin Exchange Japanese

27 Feb 2025 14:55

ちょっと前まで巨額横領だったり
内部のサポートのいい加減な対応だったり社内が荒れてるように感じてたし

その辺から情報は漏れるのでは・・？って思ってた矢先だった🥺

KuCoin Exchange Japanese

26 Feb 2025 17:02

Maintaining a learning attitude is very important for investors

KuCoin Exchange Japanese

27 Feb 2025 15:28

@Kimegoriuhho
期待が集まっている

KuCoin Exchange Japanese

27 Feb 2025 15:22

より広範なセキュリティに関するメモ
Bybit から学んだ教訓の 1 つは、攻撃者はアプリを超えて、サプライ チェーンや署名者のデバイスを侵害する可能性があるということです。トランザクション レベルの保護に重点を置く一方で、エンドポイントも保護する必要があることを認識しています。署名者用にエアギャップ デバイスまたは分離されたシステムを使用すると、セキュリティが補完され、チェーンを弱体化させる弱点がなくなることが保証されます。これは当社のアプローチの欠陥ではなく、これらの脅威がいかに巧妙になっているかを認識しているということです。

KuCoin Exchange Japanese

27 Feb 2025 15:20

レベル2: アラートの人間による検証
自動化だけでは不十分です。リスクがこれほど高い場合、人間の判断が重要になります。そのため、第 2 層では、Extractor または別のリアルタイム トランザクション監視システムによって生成されたアラートを人間が検証します。

Bybit の攻撃者は、署名者のワークフローやデバイスを侵害することで、マルチシグ保護を回避しました。これに対処するには、独立したチェックを実装する必要があります。つまり、訓練を受けた担当者が、生のトランザクション データを UI に表示される内容と相互参照します。

さらに、人間による検証を容易にするために、オフチェーンとオンチェーンの署名を監視し、それらを検証し、ペイロードがすべての署名者間で一貫していることを確認する Hacken Extractor のようなシステムを実装する必要があります。アラートは、しきい値の制限を満たしている署名者だけでなく、すべての署名者に配信されます。ペイロードは、人間が読める形式で表示され、AI によって生成された平易な言葉によるコメントが追加されます。これにより、マルチシグ ボールト内のすべての人が意図を明確に把握して一致させることができるため、悪用されるリスクが大幅に軽減されます。

このステップにより、Bybit のチームの目をすり抜けたブラインド署名のエクスプロイトを捕捉できた可能性があります。ここではタイミングと専門知識が重要です。ライブ エクスプロイトを阻止するには検証を迅速に行う必要があり、当社の担当者は隠された攻撃の微妙な兆候を見つけるよう訓練されています。署名者が見ているものと実際に署名しているものの間のギャップを埋めることが目的です。

KuCoin Exchange Japanese

27 Feb 2025 15:18

Bybit のハッキングは FTX のように簡単に終わる可能性がありました。一夜にして 15 億ドルを失うと、雪だるま式に引き出しが膨らみ、信頼が損なわれ、市場が揺らぐ可能性があります。しかし、Bybit は 2024 年 6 月から、つまり事件よりずっと前から Hacken と共同で PoR 監査を実施しており、これが単なる事後対応​​策ではなく、信頼を維持するための責任ある継続的な取り組みであることを示しています。これは大きな違いを生み、市場のパニックを防ぎ、信頼を維持することができました。実際、準備金証明は透明性にとって重要であり、取引所が負債をカバーするのに十分な資産を保有していることを検証可能な証拠として提供します。PoR 検証のリーダーである Hacken は、資産保有と負債に関する明確で検証可能な洞察を利害関係者に提供します。ここで当社の方法論を調べて、あらゆる段階でどのように透明性を維持しているかを確認してください。

当社はBybitチームと連絡を取り合い、盗まれた資金のロンダリングを追跡し続けています。

KuCoin Exchange Japanese

27 Feb 2025 15:17

Bybit は 1:1 の支払い能力を完全に回復し、すべてのトークンで準備金が負債を上回っています。Hacken は 2024 年 6 月から Bybit の準備金証明 (PoR) 監査を毎月開始し、Bybit の財務健全性を独自に検証しています。当社の役割は PoR 監査に厳密に限定されており、Bybit のセキュリティ評価は実施していません。

KuCoin Exchange Japanese

27 Feb 2025 15:15

暗号資産のロンダリング: 全世界が注目する中、盗まれた資産 15 億ドルをどうやって換金するか? それが Lazarus が直面している課題です。彼らのアプローチは、階層化されたロンダリング戦略で、何千ものウォレットに資金を体系的に分散し、DEX、クロスチェーン ブリッジ、ミキサーを活用して資産フローを隠蔽しながら、構造化された体系的なトランザクション パターンを維持することです。

主な受信者は0x47…86e2で、マネーロンダリング計画の第一段階として約 50 の EOA (それぞれ 10K ETH) に資金を分配します。
EOA から新しいウォレットへの体系的な転送 (約 7,600 件が特定され、そのうち 5,400 件は Ethereum 上)。
1 分あたり約 2 ～ 3 件のトランザクション、45 分ごとに 15 分間停止
DEX、クロスチェーンブリッジ、集中型ミキサー（例：eXch）。Chainflip 経由で 1 億ドル以上が BTC に変換されました。
最初の 50 の EOA の資金の約 20% がすでに再分配されています。

KuCoin Exchange Japanese

27 Feb 2025 15:10

https://x.com/hackenclub

KuCoin Exchange Japanese

27 Feb 2025 15:09

https://x.com/MoveBit_

KuCoin Exchange Japanese

27 Feb 2025 15:08

https://x.com/i/lists/1392098310102536194

KuCoin Exchange Japanese

27 Feb 2025 15:04

日本企業だと、10年くらい前のバージョンが検証済みで安定稼働してるからずっと使い続けてるとかあります..

KuCoin Exchange Japanese

27 Feb 2025 15:00

Bybitの事件をアパートの例えで説明します。

Bybitは、高額な資産を管理する金庫室を持つアパート（仮想通貨取引所）を運営していました。この金庫室は、複数の鍵（秘密鍵）で守られており、複数の管理人（承認者）が協力しないと開かない仕組みになっていました（マルチシグ）。

しかし、ある日、泥棒（攻撃者）が巧妙な手口で管理人の一人を騙し、金庫室の鍵の複製を作らせました（ソーシャルエンジニアリング攻撃）。管理人は、偽の管理会社（偽の指示）から連絡を受け、特別な手続きが必要だと言われて、うっかり鍵を渡してしまったのです。

泥棒は複製した鍵を使って金庫室に侵入し、多額の資産を盗み出しました。他の管理人は、鍵の複製が作られたことに気づかず、金庫室へのアクセス記録も正規のものに見えたため、盗難にすぐには気づきませんでした（巧妙なトランザクション偽装）。

この事件は、金庫室自体（Safeコントラクト）の構造に問題があったのではなく、管理人（開発者）が騙されて鍵を複製されたこと（開発者マシンの侵害）、そして金庫室の警備システム（古いバージョンのSafe、Guard機能の欠如）が最新のものでなかったことが原因で起こりました。

もし、Bybitが最新の警備システム（Safe v1.3.0以降と適切なGuard実装）を導入し、管理人へのセキュリティ教育（ソーシャルエンジニアリング対策）を徹底していれば、この事件は防げたかもしれません。

具体的には、以下のような対策が有効だったでしょう。

より強固な鍵管理： 鍵の複製ができないように、より高度なセキュリティ対策を施す。ハードウェアセキュリティモジュール(HSM)の利用などが考えられます。

入退室管理システムの強化： 金庫室へのアクセスを厳格に管理し、不正なアクセスを検知できるようにする。例えば、アクセス許可リストの作成や、リアルタイムのアクセス監視などが挙げられます。

管理人への教育： 偽の指示に騙されないように、セキュリティ意識向上のための教育を徹底する。ソーシャルエンジニアリング攻撃の手口を理解させ、不審な連絡には警戒するよう指導する。

警備システムのアップデート： 最新のセキュリティ技術を導入し、システムの脆弱性を解消する。SafeのバージョンアップとGuard機能の適切な実装がこれに当たります。

この事件は、セキュリティ対策は技術的な側面だけでなく、人間の心理的な側面にも配慮する必要があることを示しています。いくら強固なシステムを構築しても、人が騙されてしまえば意味がないのです。

KuCoin Exchange Japanese

27 Feb 2025 14:59

AWSとは、Amazonが提供するクラウドコンピューティングサービスで、インターネット経由でサーバーやストレージなどのITリソースを利用できるものです。例えるなら、アパートのようなものと考えてください。AWSはアパート全体、利用者はそれぞれの部屋を借りている住人です。

攻撃者はこのアパート（AWS）の仕組みを悪用して、様々な方法で住人（利用者）に危害を加えようとします。

1. 部屋に侵入する（アカウント乗っ取り）

偽の鍵を使う（フィッシング）： 巧妙な偽メールで、住人の鍵（パスワード）を盗み取ります。「Amazonからの重要なお知らせ」などと偽り、偽のウェブサイトに誘導してパスワードを入力させます。

鍵が弱い部屋を狙う（脆弱性攻撃）： 鍵が簡単な番号（推測されやすいパスワード）の部屋を狙って侵入します。

管理人になりすます（なりすまし）： 管理人（AWSの管理者権限）になりすまして、住人の部屋に侵入します。

KuCoin Exchange Japanese

27 Feb 2025 14:55

AWSに入られたにしても、IAMってので細かくユーザ権限振れたりできるので、へんやなあ

KuCoin Exchange Japanese

26 Feb 2025 17:32

Did everything go well today?

KuCoin Exchange Japanese

26 Feb 2025 16:58

Research industry trends to help you identify investment opportunities.