PeopleDAO が Google スプレッドシート経由でハッキング、120,000 ドル相当のイーサが盗まれる

米国憲法のコピーを購入するために結成されたグループである PeopleDAO は、3 月 6 日にソーシャル エンジニアリング ハッキングにより 76.5 ETH (120,000 ドル) を失った。

エラーの組み合わせが盗難につながり、によると プロジェクトチームに。まず、経理担当者が、プロジェクトの Discord サーバーのパブリック チャンネルへの編集アクセス権を持つ支払いフォームへのリンクを誤って共有してしまいました。ハッカーは、フォームでこの編集アクセスを使用して、アドレスと 76.5 ETH の支払いを挿入することができました。次にハッカーは、フォーム上でこの行を非表示にしました。

フォームのこの非表示の行は、再チェック中にチームの通知を逃れました。また、フォームからのデータが Safe のエアドロップ ツールに送信された後に転送を実行したマルチ署名署名者によっても検出されませんでした。そのため、攻撃者のウォレットは 76.5 ETH の支払いを受け取りました。その後、ハッカーはイーサを 2 つの中央集権型取引所である HitBTC と Binance に送金し、69.2 ETH ($110,000) を前者に、7.3 ETH を後者に送金しました。

人DAO ブロックチェーンと連携しているというZachXBT のようなセキュリティ専門家 ハッカーを追跡するSlowMist。チームは、ハッカーが使用する取引所だけでなく、米国の法執行機関にもこの問題を報告したと述べています。 PeopleDAO は、ハッカーが資金を返還した場合に 10% のホワイト ハット バウンティをハッカーに提供しました。報告の時点で、ハッカーはこの申し出に応じていません。

チームは、今後同様の事故が起こらないように対策を講じていると述べました。 「会計とマルチシグ教育を改善しています。」チームはThe Blockに語った。 「署名者のエクスペリエンスを向上させる Safe 上に構築されたツールを採用しています。」

PeopleDAO は、これらのツールを使用して再発を防ぐ方法について、チーム メンバーとのデモ セッションを主催する予定であると述べています。