DeFiプロトコルのPythia FinanceとPenpieのセキュリティ脆弱性により、9000万ドルの損失が発生。

9月3日、分散型金融プロトコルのPythia Financeがリエントランシー攻撃を受け、資金から53,000ドルが流出した。Pythiaは、人工知能を利用して財務を管理するアルゴリズム安定コインプロジェクトで、「報酬請求」機能に欠陥があったため、このエクスプロイトの犠牲になった。

攻撃者は、各呼び出しの後にシステムがリワードの残高を更新することなく、この関数を繰り返し呼び出した。この脆弱性は、Pythiaが報酬配布中にトークンの「安全な転送」関数を使用することに関連していました。悪意のあるトークンコントラクトはこれを悪用し、Pythiaをループさせ、プロトコルのリソースを消耗させました。

関連読み物：トランプ氏のデジタル不動産計画が公開され、現実世界の資産のトークン化を推進する暗号化プラットフォーム「The DeFiant Ones」を立ち上げる（RWA

ブロックチェーンセキュリティ企業であるQuill Auditsは、このインシデントについて報告し、Pythiaに対する部分的な監査で未解決のセキュリティ問題がなかったことを指摘し、チームが攻撃後に欠陥に対処した可能性を示唆した。今回のようなリエントランシー攻撃は、コードの実行が完了する前に攻撃者が関数を操作するというもので、スマートコントラクトの領域では依然として一般的な脅威となっている。

Pythiaの部分監査レポートのスクリーンショット。(Pythia / X）。

Zyxel社製ネットワーキング・デバイスがユーザーをハッキングの危険にさらす

一方、ネットワーク・ハードウェア・メーカーのザイセルは9月4日、攻撃者がユーザーのルーターやアクセス・ポイントでコードを実行できる可能性のある重大な脆弱性を公表した。この脆弱性は、CGIプログラム内の要素の不適切な無効化から生じたもので、細工されたクッキーを通じて無許可のコマンド実行を可能にする可能性がある。

この欠陥は、暗号ウォレットのユーザーにとって重大なリスクとなる。危殆化したホームネットワークは、DNSスプーフィング、データ傍受、ソーシャル・エンジニアリング攻撃につながる可能性があるからだ。Zyxel社は、影響を受けるデバイスのリストを公開し、このリスクを軽減するためにファームウェアをアップデートするようユーザーに呼びかけている。

関連読み物：Radix DeFiプラットフォーム開発のRDXワークス、コスト削減策の中、15％の人員削減を実施

ペンピーの悪用で2700万ドルの損失

DeFiスペースにおけるもう一つの大きな事件は、9月3日に2700万ドルのエクスプロイトを受けたPenpieプロトコルに関するものだった。Zokyoのレポートによると、この欠陥はペンドル・マーケットを誰でも作成できるようにする機能にあった。この抜け穴により、攻撃者は偽のマーケットとプールを作成し、それを操作して貴重な報酬を得ることができた。

攻撃者はPenpieのシステムのリエントランシーの欠陥を悪用し、デポジットを引き出す前にデポジット関数を繰り返し呼び出して報酬を膨らませた。この脆弱性はプロトコルの以前のバージョンにも存在していたが、Zokyoの監査後に導入された機能である、誰でも新しいプールを登録できるようにする変更によって悪化した。

ペンピーのチームはこの問題を認め、悪用されたのは別のセキュリティ会社が実施した監査での見落としによるものだとした。今後は、定期的な監査を実施し、将来のインシデントを防止する予定だという。