スマートコントラクトのエクスプロイト事件後、ブロックチェーンセキュリティ企業がインフラを強化した方法

ブロックチェーンセキュリティのリーダーとして、同社は高精度な監査と徹底的なペネトレーションテストによって高い評価を築いてきました。長年にわたり、分散型金融（DeFi）プロトコル、NFTプラットフォーム、レイヤー2スケーリングソリューションなど、世界中で約400社の顧客にサービスを提供してきました。同社のレポートは投資家向けのプレゼンテーション資料で頻繁に引用され、DeFiプラットフォーム上のセキュリティバッジはユーザーの信頼を象徴するものでした。しかし、2021年11月、同社は大きな挫折に直面しました。わずか3週間前に監査したDeFiイールドファーミングプロトコルが、再入性ループホールを悪用されたのです。攻撃者は数分のうちに1,400万ドル相当のステーブルコインを盗み出しました。ブロックチェーン研究者たちはこの不審なトランザクションを報告し、数時間後にはTwitter上で激しい非難が巻き起こりました。

エクスプロイトは顧客のスマートコントラクト内で発生したにもかかわらず、同社の監査では脆弱性を検出できなかったという事実は、厳しい監視を引き起こしました。著名な暗号資産インフルエンサーは同社の監査手法に疑問を呈し、競合企業はこれを機に自社をより包括的かつ詳細志向の企業として位置付け、顧客基盤の喪失につながりました。

1週間以内に、他の3つのDeFiプロトコルが、信頼の喪失を理由に同社との監査契約を解除しました。同社は、これが長期的な損害をもたらす可能性を認識し、迅速な対応を決定しました。このような事態が二度と起こらないよう、そして既存顧客と潜在顧客の両方に安心してもらうため、サイバーセキュリティと新興技術に関する徹底的な市場調査で知られるグローバル戦略コンサルティング会社Research Nesterに連絡を取りました。初期評価の後、Research Nesterのコンサルタントは、同社の既存のインフラとプロセスに以下の欠陥があることを指摘しました。そのいくつかを以下に挙げます。

• 時代遅れの監査チェックリスト: 同社は、フラッシュローン攻撃、サンドイッチ取引、オラクル操作などの新たな DeFi の脅威に合わせて更新されていない、一般化された時代遅れの監査チェックリストを使用していました。
• 手作業への依存：手作業によるコードレビューへの過度な依存により、プロセスにおける人為的エラーの発生率が増加しました。複雑な複数契約の相互作用をテストできる標準化された自動化ツールが不足していました。
• リアルタイム追跡の欠如: 監査後、スマート コントラクトの動作をリアルタイムで監視するためのメカニズムが導入されていませんでした。
• 脅威インテリジェンスの更新頻度が低い: エクスプロイト パターンに関する社内ナレッジ ベースは四半期ごとにしか更新されていなかったため、新しい脅威ベクトルへの適応が非常に遅くなっていました。