Poolzスマートコントラクトの脆弱性が攻撃され、マルチチェーン資産が66.5万ドルの損失を被った

Poolzが算術オーバーフローの脆弱性攻撃に遭い、約66.5万ドルの損失

最近、複数のブロックチェーンネットワーク上のPoolzプロジェクトがハッキングされ、大量のトークンが盗まれ、総価値は約66.5万ドルに達しました。この攻撃は2023年3月15日に発生し、Ethereum、BNB Chain、Polygonなどの複数のネットワークが関与しています。

攻撃者はPoolzスマートコントラクト内の算術オーバーフローの脆弱性を利用しました。具体的には、問題はCreateMassPools関数内のgetArraySum関数にあります。この関数はトークンの数量を計算する際に整数のオーバーフローを正しく処理しておらず、攻撃者は非常に低コストで大量のトークンを取得できるようになっています。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

攻撃プロセスは大まかに次のようになります：

1. 攻撃者は最初にある分散型取引所で少量のMNZトークンを交換しました。

2. その後、CreateMassPools関数を呼び出し、巧妙に構築されたパラメータを渡して、整数オーバーフローを引き起こします。

3. オーバーフローにより、システムは巨大なトークン数を誤って記録しましたが、実際には1つのトークンしか転送されませんでした。

4. 最後に、攻撃者はwithdraw関数を呼び出してトークンを引き出し、攻撃を完了させます。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

今回の事件は、スマートコントラクトにおける整数オーバーフローの脆弱性の危険性を再び浮き彫りにしました。類似の問題を防ぐために、開発者は新しいバージョンのSolidityコンパイラを使用すべきであり、それによりオーバーフローのチェックが自動的に行われます。古いバージョンのSolidityを使用しているプロジェクトには、整数演算を処理するためにOpenZeppelinのSafeMathライブラリを導入することをお勧めします。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!

今回の攻撃により、MEE、ESNC、DON、ASW、KMON、POOLZなど、複数のトークンが失われました。現在、盗まれた資金の一部は攻撃者によってBNBに換金されていますが、まだ攻撃者のアドレスからは移動されていません。

この事件は、見た目上は単純な数学演算であっても、スマートコントラクト内で深刻なセキュリティ問題を引き起こす可能性があることを私たちに思い出させます。プロジェクトチームは、コード監査をより重視し、ユーザー資産を保護するために必要なセキュリティ対策を講じる必要があります。

! Poolzは算術オーバーフローの問題で攻撃を受け、約665,000ドルを失いました!