Poolzは算術オーバーフローの脆弱性攻撃に遭遇し、損失は66.5万ドルに達しました

最近、クロスチェーンプラットフォームPoolzに対する攻撃事件が業界の注目を集めています。攻撃者はスマートコントラクトの算術オーバーフローの脆弱性を利用し、Ethereum、BNB Chain、Polygonなど複数のネットワークから大量のトークンを盗み出し、推定損失は約66.5万ドルに上ります。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

オンチェーンデータによると、この攻撃は2023年3月15日の午前中に発生しました。攻撃者はMEE、ESNC、DON、ASW、KMON、POOLZなどのさまざまなトークンを取得しました。現在、一部の盗まれた資金はBNBに交換されていますが、他のアドレスにはまだ移動されていません。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

攻撃者は主に Poolz スマートコントラクトの CreateMassPools 関数の脆弱性を利用しました。この関数はユーザーが流動性プールを一括作成し、初期流動性を提供できるようにします。問題は getArraySum 関数にあり、この関数は転入トークンの数量を計算するために使用されます。攻撃者は巧妙に構築された入力データを使用して、累積結果が uint256 型の範囲を超え、オーバーフローにより戻り値が 1 になるようにしました。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

この算術オーバーフローにより、攻撃者は1つのトークンを転送するだけで、システムに実際の数量をはるかに超える巨額の流動性を記録できるようになります。その後、攻撃者はwithdraw関数を呼び出すことで、大量の無許可のトークンを簡単に引き出しました。

類似の事件が再発しないように、安全専門家は開発者に対して、契約のコンパイルに最新のSolidityバージョンを使用することを推奨しています。新しいバージョンは自動的にオーバーフロー検査を行います。古いバージョンのSolidityを使用しているプロジェクトについては、OpenZeppelinのSafeMathライブラリを導入して整数オーバーフロー問題を解決することを検討できます。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

この事件は、特に大規模な数値計算を扱う際に、スマートコントラクトのセキュリティ監査の重要性を再度浮き彫りにしました。DeFiプロジェクトにとって、包括的なセキュリティテストと定期的なコードレビューは、ユーザーの資金の安全を確保するための重要な措置です。