Across Protocol、リレーヤーのバグで攻撃者が4170万ドルの偽装入金を捏造

Acrossは7月17日の攻撃で、ソラナのイベントを読み取るオフチェーンソフトウェアの不備を突いた攻撃者が額面約4170万ドルの捏造入金を作り出し、Risk Labsが運営するリレーヤーから約450万ドルが流出したと明らかにした。UTC 05:07から06:14にかけて、攻撃者は18の送信先チェーンにまたがり、使い捨てウォレット1,627件から1,627件の偽装入金を送信し、すべて単一のEVM (Ethereum Virtual Machine)受取アドレスを指定していた。Risk Labsによると、ソラナを起点チェーンとして無効化するまでに同社のリレーヤーはそのうち581件を履行し、残る約3700万ドル相当の偽装入金は未履行のまま失効した。 同社によると、根本原因はリレーヤーのイベント解析コードでAnchorの8バイトのイベント識別子の確認が欠けていたことであり、ソラナのプログラムや、攻撃者が搬送手段として使ったget_unsafe_deposit_idヘルパー関数の不備ではなかった。Acrossは、リレーヤーがまず自己資本を立て替え、決済後に入金の検証を経て払い戻されるインテントベースの設計を採用しているため、ユーザー資金が失われたり危険にさらされたりすることはなく、正規の送金はすべて同日に完了または全額返金されたと説明した。 Risk Labsによると、総損失は約450万ドルで、このうち約50万ドルの攻撃者資金がプロトコル内に留まっているため、純損失は400万ドル未満であり、回収作業の進展に伴ってなお縮小している。同社は、検知から約5時間で根本原因への修正を導入し、代替のCCTPルーティングを使って約12時間でソラナのサービスを全面復旧させた一方、オフチェーンのイベント解析ロジックの再監査が完了するまで、ソラナとの間のインテントルーティングは停止したままとしている。回収作業にはSEAL 911と米国の法執行機関が関与しており、攻撃者のアドレスは取引所や換金経路全体で警戒対象に指定された。ACXトークンの買い取り手続きも予定通り進んでいる。