見出し画像

[Mixin Network]ハッキング問題について

harucoinlove(ハル) ⋈🪶∞

時系列的にまとめていく
2023/09/27 23:28時点では、犯人は捕まっていないのと英語での補償内容なども公式からは出ていない。また、犯人と思われるウォレットからは外に転送されていない。

何が起きたのか？★は公式

Mixin Networkにて2023年9月23日 早朝にハッキングが発生。Etherscanの情報からみると、 2023年9月23日 08:52:35 AM (JST)にハッキングが発生。

2023年9月23日午前8時頃


以下の金額がMixin Networkからハッキングされて盗まれた。
59,854 $ETH (9,440 万ドル)
891 $BTC (2,330 万ドル)
23.57M $USDT (23.55M $DAIに交換されました)

ウォレットを見ると10000アドレスから徐々にウォレットに対して送金しているトランザクションもみられる。

★2023年9月25日午前11:50  公式発表


[お知らせ] 2023年9月23日の早朝、香港時間において、Mixin Networkのクラウドサービスプロバイダーのデータベースがハッカーによって攻撃され、メインネット上の一部の資産が失われました。私たちはGoogleおよびブロックチェーンセキュリティ企業@SlowMist_Teamに連絡を取り、調査を支援してもらっています。初期の検証によれば、関与する資金は約2億米ドルです。Mixin Networkでの入金と出金サービスは一時的に停止されています。全ノード間での議論と合意の後、脆弱性が確認され修復されたら、これらのサービスは再開されます。この期間中、送金は影響を受けません。
失われた資産に対処する方法については、Mixinチームが後で解決策を発表します。Mixin創始者のFeng Xiaodongが、2023年9月25日13:00 HKTに公開の中国語ライブストリームでこの事件について説明します。この情報を広めていただけると幸いです。後で内容を英語でまとめ、簡単に参照できるようにします。最小限の損失となるよう最善を尽くし、この件について深くお詫び申し上げます。皆様の継続的なサポートに感謝いたします。



2023年9月25日 午前12:33:59 （JST）犯人に対してメッセージ


https://etherscan.io/tx/0x14fb907be5421d1243ee55db8a31770b1b75433a840179cad1593aed972f0345

以下、チェーンに書き込まれたメッセージの日本語訳

あなたがご自身の専門分野で非常に優れたスペシャリストであることを、皆が認めています。しかし、このお金はMixin Networkのユーザーのものであるため、あなたに資金をMixin Networkに返すようお願いしたいと考えています。最近、Curve Financeのハッキングに関与したハッカーを特定することができたため、返金交渉ができました。総額の10%を報酬として保持していただいて構いません。短期間で資金をMixin Networkに返し、報酬を受け取ってください。ただし、あなたを特定し始める前に行ってください。何か異論があれば、添付されたUTF-8メッセージを通じて、または他の任意の通信方法を用いてMixin Networkと対話することができます。

以下、チェーンに書き込まれたメッセージ

You have shown everyone that you are a very good specialist in your field. But we would like to negotiate with you and convince you to return the funds back to Mixin Network, because this money belongs to the users of Mixin Network. Recently, we were able to negotiate a refund with the hacker involved in the hacking of Curve Finance because we were able to identify the hacker. You can keep 10% of the total amount as a reward. Return the funds back to Mixin Network in a short time and stay with the reward, but do it before we begin to identify you. If you have any objections, you can conduct a dialogue with the Mixin Network via the attached UTF-8 messages or you can leave any other type of communication.


2023年9月25日午後6:28 

Mixinのホットウォレットから抜かれたとされた内容


2023年9月25日 午後11:48 


Block Secの発表

@MixinKernelに関するセキュリティインシデントについて、以下の調査結果があります。
まず、大量の入金アドレスが空にされました。攻撃者は、最も高い残高から最も低い残高までの順に資金を移動しました。これには1万回以上の取引が関与し、数時間かかりました。
次に、空にされたアドレスのいくつかはMixinのホットウォレットである可能性があります。
三つ目に、Mixinには毎日新しいホットウォレットアドレスに変更するというポリシーがありました。
Mixinの内部セキュリティアーキテクチャについては明確ではありませんが、これらの事実に基づき、以前に公表されたデータベースが侵害されたという情報と組み合わせると、以下のことが推測されます：
1）Mixinの入金アドレスのプライベートキーは、回復可能な方法で保存されています。
2）攻撃者はクラウドを侵害し、入金アドレス（およびホットウォレットアドレス）のプライベートキーを回復しました。


2023年9月27日 午後4:01:11 （JST） 犯人へ対してのメッセージ


https://etherscan.io/tx/0xfefc58c906d7c49300f258e9f4e38c7b25ac2ffd254d7e6aa2797e7e2b5bc621
メッセージが送信されているのがわかります。

Most of our platform assets were users’, and we hope you can refund them. You can keep $20M of the assets as a BUG Bunty Reward for the BUG. Contact us via bug@mixin.one for the reward details.

上記の内容を日本語に翻訳すると以下の内容になります。

当プラットフォームの資産の大部分はユーザーのものであり、それらを返金していただけると希望します。バグに対するバグバウンティ報酬として、資産の2000万ドルを保持していただいて構いません。報酬の詳細については、bug@mixin.oneまでお問い合わせください。


★2023年9月27日 午後5:27 公式UPDATE情報


[更新] 事件が初めて発生した際、私たちはGoogle（Mandiant）とブロックチェーンセキュリティ企業@SlowMist_Teamに連絡を取り、調査を支援してもらいました。
数日後、資産の集計作業のほとんどが完了し、状況は当初予想よりもはるかに楽観的です。損失は当初の見積もりほど大きくありません。再度、Mixin Networkでの取引、マーケットメイキングなどを避けるよう、皆様にお知らせします。これにより不必要な損失を防ぐことができます。
資産の損失については、謝罪するだけでなく、行動を通じて責任を取るしかありません。同時に、責任を取ることが常にMixinの姿勢でありました。具体的な補償ルールにはまだ時間が必要です。
再度、すべてのMixinユーザーとサポーターに感謝いたします。


この記事が気に入ったらサポートをしてみませんか？