ポンププロジェクトに対するインサイダー攻撃の分析

最近、Pumpプロジェクトは内部攻撃事件に遭遇し、かなりの損失を被りました。本稿ではこの事件について詳細に分析します。

攻撃プロセス

攻撃者は外部のハッカーではなく、おそらくPumpプロジェクトの元従業員です。彼はPumpがRaydium上でトークンの取引ペアを作成するための権限を持つウォレット、私たちはこれを「ターゲットアカウント」と呼んでいます。一方、Pump上で作成されたが、まだRaydiumの基準に達していないトークンBonding Curve LPプールは「予備アカウント」と呼ばれています。

攻撃者はある貸付プラットフォームを通じてフラッシュローンを取得し、その資金を利用してすべてのレイディウム基準に達していないプールを満たしました。通常、プールが基準に達した場合、"準備口座"のSOLは"ターゲット口座"に転送されるべきです。しかし、攻撃者はこのプロセスで転送されたSOLを引き抜き、本来レイディウムに上場し、プールをロックするはずのトークンが上場操作を完了できなくなりました。

被害者分析

今回の攻撃は貸付プラットフォームの資金には影響を与えませんでした。なぜなら、フラッシュローンは同じブロック内で返済が完了したからです。Raydiumに上場しているトークンはLPがロックされているため、影響を受けないはずです。

真に損失を被ったのは、攻撃が発生する前に、まだプールが満たされていなかったPumpユーザーです。彼らが購入したSOLは、上記の攻撃によって移動されてしまいました。これにより、最初の損失見積もりが8000万ドルに達する可能性があった理由が説明されます(注：最新のデータによれば、実際の損失は約200万ドルです)。

攻撃の原因を探る

明らかに、この事件はプロジェクトチームの権限管理における重大な怠慢を暴露しました。私たちは、プールを満たすことが攻撃者の以前の職務の一つであったと推測することができます。これは、初期段階のいくつかのソーシャルプラットフォームが公式ボットを使用して取引の活発度をシミュレーションした方法に似ています。

おそらくPumpプロジェクトは、コールドスタートを実現するために、攻撃者にプロジェクト資金を使用して新たに発行されたトークンのプール(（$test、$alonなど）を充填させ、Raydiumに上場し、価格を引き上げて注目を集めることを狙っていた。しかし、彼らはこれが最終的に内部攻撃の突破口となるとは予想していなかった。

教訓のまとめ

1. 類似のプロジェクトにおいて、表面的な模倣だけでは全く不十分です。製品があれば自然に取引が生まれると単純に考えるのではなく、初期の推進力をどのように提供するかを考慮しなければなりません。

2. プロジェクトは権限管理とセキュリティ対策を非常に重視する必要があります。内部の脅威は外部の攻撃よりも危険であることが多く、内部の人間が重要な情報と権限を掌握しています。

3. システムを設計する際は、最小権限の原則に従い、各役割がその作業を遂行するために必要なリソースにのみアクセスできるようにするべきです。

4. 定期的にセキュリティ監査と権限チェックを行い、潜在的なセキュリティの脆弱性を迅速に発見し修正します。

5. 従業員の退職プロセスを確立し、従業員が退職する際にすべての権限と機密情報を迅速に回収することを確保する。

この事件は、急速に発展している暗号通貨の分野において、安全が常に最優先事項であることを再認識させてくれます。プロジェクトチームは常に警戒を怠らず、ユーザーとプロジェクト自体の利益を守るために安全対策を不断に改善しなければなりません。