多くのdefidapps、最も目立つのはConvex Financeで、ドメイン名が乗っ取られました。
ConvexFinance、Ribbon Finance、DeFiSaver、Allbridgeはすべて、プロジェクトの実際のドメインにいる間に悪意のある契約を承認するユーザーの影響を受けました。
これらすべてのドメインのレジストラは NameCheap で、その CEO である Richard Kirkendall 氏は次のように述べています。
「私たちはこれを、何らかの方法でハッキングまたは侵害された特定のカスタマー サービス エージェントまで追跡し、このエージェントからのすべてのアクセスを削除しました。 これはいくつかの対象ドメインに影響を与えましたが、引き続き調査を続けます。」
これは明らかで単純な窃盗事件であり、おそらくすべての証拠が入手可能であるため、裁判は短期間で済むはずです。
しかし、ハッキングやハイジャックがまったく洗練されていなかったことは明らかです。 NameCheap の従業員の一部が、ドメインが指す IP アドレスを変更したところ、新しい悪意のあるサーバーでは、イーサリアム アドレスの最初と最後の XNUMX 桁を含め、すべてが同一に見えました。
何が起こっているのかわかりませんが、100xF0C403BFbE135812408b8713A5a23b04D3AAE48 を正確に承認していることを 31% 確信してください。
使用した場合 @convexfinance make sure you did not approve: 0xF403a2c10B0B9feF8f0d4F931df5d86aD187AE31 https://t.co/QTsi6BV1Zj
— alexintosh.eth | 募集中です (@Alexintosh) 2022 年 6 月 23 日
そこで彼らはバニティ アドレスを使用しましたが、これも洗練されたものではありません。類似したアドレスが見つかるまで [新しいアドレスの作成] をクリックし続けるだけだからです。
このプロセスは、ボット ソフトウェアが [新しいアドレスの作成] をクリックして「カスタマイズ」したい桁数が多いほど難しくなります。
人間は、ほとんどすべての人にとって XNUMX 桁程度の短期記憶を簡単に覚えることができ、完全に簡単ではありませんが、大多数の人は XNUMX 桁を覚えることができます。
XNUMX 桁にできるバニティ アドレスはほとんどありませんが、多くのバニティ アドレスはチェックがそれほど徹底されていません。revoke.cash を使用すると、任意のスマート コントラクトへのアクセス許可を取り消すことができますが、この場合はすべての資金がすでに使い果たされている可能性があります。
しかし、ここには従業員がおり、NameCheap が全面的に協力するか、彼ら自身が裁判 (刑事裁判) を受けていることが予想されるため、資金の一部を取り戻すことは可能であるはずです。
なぜなら、この従業員はおそらく誰のためにIPを変更したかを知っているため、そうでなければXNUMX倍またはXNUMX倍の懲役刑を受けるからです。 したがって、最終的には愚かな犯罪者が現れる可能性があります。
そしてカーケンダル氏によると、少なくとも一部の従業員はハッキングや不正行為があった場合に IP を変更する能力を必要としているため、ここでは刑事法制度が唯一の解決策であるようだという。
後者の場合、リダイレクトするのではなく、ドメインをキャンセルするか一時停止する方が良い解決策になる可能性があります。 ハッキングの場合は、あまり選択の余地はないかもしれませんが、これは愚かな犯罪であるため、完全な訴追が期待されており、十分な抑止力となるはずです。
なぜなら、誰がその行為を実行したのかが正確に分からない限り、この活動を実行することは不可能であり、カーケンドール氏は、すべての変更と活動のログを保管していることを認めています。
これは、泥棒が誰かの番号を取得して XNUMX 要素認証に使用するという、簡単な SIM ハッキング エピソードに似ています。
ただし、誰がその番号を要求したかを見つけるのは簡単です。そして、この従業員は NameCheap に知られているので、何人かをロックすればそれで終わるはずです。この方法を使用すると確実に刑務所に入れられ、資金は没収されるからです。あなたは懲役刑を終身刑に引き上げたいと考えています。
Ethereum Name Service (ENS) のような他の潜在的なソリューションもありますが、本番環境のライブ ドメイン名にはあまり使用されていません。 BGP ハイジャック ここでは ISP が悪意のあるものにリダイレクトしますが、ここでも法執行機関が従業員とその行為を行った人物を見つけることができます。
したがって、解決策は、これらの泥棒たちが、私たちの税金で自分たちが愚かであることを認識することであり、法執行機関が報酬をもらって仕事をしていることが非常に明確になり、おそらくそうするでしょう。
一時的な解決策としては、現時点ではもう少し注意を払うことですが、少なくとも XNUMX 桁までを確認し、以前に承認したことがある場合はさらに徹底的に確認します。
なぜなら、彼らは多くのものを偽装することができますが、実際のアドレスを偽装することはできず、長期的にはMetaMaskやEtherscanが警告する潜在的なAIソリューションも存在するかどうかは不明だからです。
何を信頼すべきかを指示する集中型のゲートキーパーがいるのは皮肉なことのように思えるかもしれませんが、必要に応じてゲートキーパーを無視することもできますし、集中型データベースのようにドメイン IP を変更するなど、何かを強制することもできません。
ソース：https：//www.trustnodes.com/2022/06/25/defi-dapps-dns-attacked