億ドル近くが消失：ノビテックス盗難事件が整理される

著者：Lisa & 23pds 編集：Sherry

背景

2025年6月18日、チェーンスルースZachXBTは、イラン最大の暗号取引プラットフォームであるNobitexが、複数のパブリックチェーンにわたる大量の資産の異常な送金を含むハッキング攻撃を受けた疑いがあることを明らかにしました。

(https://t.me/investigations)

SlowMistはさらに、このインシデントで影響を受けた資産にはTRON、EVM、BTCネットワークが含まれ、当初の推定損失額は約8170万ドルであることを確認しています。align: center;">(https://x.com/slowmist_team/status/1935246606095593578)

ノビテックスもまた、インフラとホットウォレットの一部で実際に不正アクセスがあったことを確認する発表を行ったが、ユーザーの資金は安全であると強調している。

(https://x.com/nobitexmarket/status/1935244739575480472)

注目すべきは、攻撃者は資金を送金しただけでなく、自主的にかなりの資産を特別に設計された破壊アドレスに移し、約1億ドル相当の資産を「燃やした」ことである。"text-align: centre;">(https://x.com/GonjeshkeDarand/status/1935412212320891089)

タイムラインの並び替え

6月18日

• ZachXBTがイランを暴露。暗号取引所Nobitexがハッキング攻撃を受けた疑いがあるとのこと。SlowMistはさらに、攻撃が複数のチェーンを巻き込んでいることを確認しており、最初の損失は8170万ドルと推定されています。

• ノビテックス。表によると、技術チームはインフラとホットウォレットの一部への不正アクセスを検出し、直ちに外部インターフェースを切断して調査を開始しました。コールドウォレットに保管されている資産の大部分は影響を受けず、侵入は日々の流動性に使用されているホットウォレットの一部に限られていました。

• ハッキング組織Predatory Sparrow（Gonjeshke Darande）は攻撃の責任を主張し、24時間以内にNobitexのソースコードと内部データを公開すると発表した。

(https://x.com/GonjeshkeDarand/status/1935231018937536681)<

6月19日

• Nobitexは4回目の声明を発表し、プラットフォームは外部からのサーバーへのアクセスを完全にブロックしており、ホットウォレットの転送は「資金を保護するためのセキュリティチームによる積極的な移行である」と述べている。".同時に関係者は、盗まれた資産は任意の文字で構成された非標準アドレスのウォレットに転送され、合計約1億ドルのユーザー資産を破壊するために使用されたことを確認した。

• ハッカーグループPredatory Sparrow (Gonjeshke Darande)は、「制裁回避ツール」と称して、約9000万ドル相当の暗号資産を燃やしたと主張しています。

• ハッカーグループPredatory Sparrow（Gonjeshke Darande）がNobitexのソースコードを暴露。

(https://x.com/GonjeshkeDarand/status/1935593397156270534)

ソース情報

攻撃者が出したソースコード情報を元に、フォルダ情報を以下のように取得します:

具体的には以下の通りです:

ノビテックスのコアシステムは主にPythonで書かれており、K8sを使って展開・管理されています。既知の情報と合わせると、攻撃者はイントラネットにアクセスするために、運用と保守の境界を突破した可能性があると思われます。

ミストトラック分析

攻撃者は資産を受け取るために、一見合法的だが制御不能な複数の「破壊アドレス」を使用しました。そのほとんどはオンチェーンアドレスフォーマットチェックルールに適合しており、資産を受け取ることに成功しましたが、資金が送金されると、それらは永久に破壊されました。同時に、これらのアドレスには感情的で挑発的な言葉も書かれており、不快感を与える。攻撃者が使用した「破壊アドレス」の一部は以下の通り：

• TKFuckiRGCTerroristsNoBiTEXy2r7mNX

• 1FuckiRGCTerroristsNoBiTEXXXaAovLX

• DFuckiRGCTerroristsNoBiTEXXXWLW65t

• FuckiRGCTerroristsNoBiTEXXXXXXXXXXXXXXX

• align: left;">one19fuckterr0rfuckterr0rxn7kj7u

• オンチェーンAMLおよび追跡ツールであるMistTrackを使ってこれを分析したところ、ノビテックスの損失の非網羅的な集計は以下のようになりました：

  

  MistTrackの分析によると、攻撃者はTRONで110,641件のUSDT取引と2,889件のTRX取引を行った。889 TRX取引：

  

  攻撃者によって盗まれたEVMチェーンには、主にBSC、イーサリアム、アービトラム、ポリゴン、アバランチが含まれ、各エコシステムの主力に加え、UNI、LINK、SHIBなど幅広いトークンが含まれています。

  

  ビットコインでは、攻撃者は約2,086のトランザクションで合計18.4716 BTCを盗みました。

  

  ビットコインでは、攻撃者は合計18.4716BTCを盗んだ。"text-align: left;">Dogechainでは、攻撃者は合計39,409,954.5439 DOGE、または約34,081トランザクションを盗みました。"text-align: left;">ソラナで、攻撃者はSOL、WIF、RENDERを盗む:

  

  TON、Harmony、Rippleで、攻撃者はそれぞれ3,374.4TON、35,098,851.74 ONE、373,852.87 XRP:

  

  MistTrackは問題のアドレスを悪意のあるアドレスデータベースに追加し、引き続きチェーンを監視する予定です。

  結論

  Nobitexの事件は、セキュリティが全体的なものであり、プラットフォームがセキュリティをさらに強化し、より高度な防御メカニズムを採用する必要があることを、特にホットウォレットを日常業務に使用しているプラットフォームに対して、改めて業界に思い起こさせました。 SlowMistは次のことを提案します：

  • ホットウォレットとコールドウォレットのパーミッションとアクセスパスを厳密に分離し、ホットウォレットの呼び出しパーミッションを定期的に監査する。paddingleft-2">

  • オンチェーンでリアルタイムの監視システム（MistEyeなど）を採用することで、以下のことが可能になります。包括的な脅威インテリジェンスと動的なセキュリティ監視をタイムリーに得る。

  • オンチェーンのアンチマネーロンダリングシステム（MistTrackなど）と連携し、異常な資金の流れをタイムリーに検知する。

  • 緊急時対応メカニズムを強化し、攻撃が発生した場合、その時間内に効果的に対応できるようにする。攻撃後のゴールデンウィンドウ内に効果的に対応できるようにする。

  今回の事件はまだ調査中であり、スローフォグのセキュリティチームは引き続き追跡調査を行い、進捗状況を順次更新していく予定です。