Indodaxはホットウォレットに2200万ドルを保有していた——1回の侵害で6つのチェーンが同時に流出

600万人以上のユーザーを抱えるインドネシア最大の暗号資産取引所Indodaxは、日々の出金に対応するために使われるインターネット接続型のウォレットであるホットウォレットを運用し、複数のブロックチェーンにわたって数千万ドルを保有していた。2024年9月11日、攻撃者は150件を超える不審な取引を実行し、約2200万ドルを流出させた。内訳はERC-20トークン約1460万ドル、ポリゴン資産258万ドル、トロン240万ドル、ビットコイン142万ドル、およびOptimism上のイーサリアムの少額分である。

Indodaxは同日、ウェブアプリとモバイルアプリをオフラインにし、「完全メンテナンス」と称するとともに、ユーザーの残高は依然として全額裏付けられていると伝えた。盗まれた資金を追跡するブロックチェーン・フォレンジック企業（Cyvers、SlowMist、PeckShieldなど）は、攻撃の手口と、資金がETH、TRON、ポリゴン、ビットコインへのスワップを通じて洗浄された方法が、WazirXとBybitの取引所ハッキングの犯人とされる北朝鮮のLazarus Groupに酷似していると述べた。犯行声明は出ておらず、Indodaxも帰属を確認していない。

インドネシアのデリバティブ規制当局BappebtiはIndodaxを呼び出して説明を求め、取引所の対応を監視する間、顧客に冷静でいるよう求めた。Indodaxは約3億6900万ドルの準備金を保有しており、これは盗まれた額の10倍以上にあたるとし、損失をユーザーに転嫁するのではなく、この緩衝資産から影響を受けたユーザーに全額補償すると約束した。

攻撃者は1回の侵害でビットコイン、イーサリアム、トロン、ポリゴンにまたがる2200万ドルを流出させた。Indodaxは3億6900万ドルの準備金から損失を補償すると約束した。

数千万ドルが、取引所が顧客資金の大部分に用いるオフラインのコールドストレージではなく、日常的な出金のためにインターネット経由で到達可能なホットウォレットに置かれていた。

残高はホットウォレット内で6つの異なるブロックチェーンに分散していたため、1つのアクセスポイントが侵害されるだけで、同じ一連の取引でビットコイン、イーサリアム、トロン、ポリゴンの保有資産を流出させることができた。

Indodaxが気づいてプラットフォームをオフラインにする前に150件を超える取引が送信されており、資金がすでに移動した後に初めて侵害を捕捉する監視体制であったことを示している。

出金のために到達可能な資金は、攻撃者にとっても到達可能な資金である。取引所がホットで保持する額が少ないほど、また1つのウォレットの背後にあるチェーンが少ないほど、1回の侵害で奪われる額は少なくなる。

Indodaxはメンテナンスのためにオフラインにした後、プラットフォームを復旧し、ユーザーの損失を自社の準備金から補償すると述べた。Bappebtiは取引所を監視下に置き続け、インドネシアの法律評論家は、この侵害自体がIndodaxがBappebtiとOJKが認可暗号資産プラットフォームに求めるシステム信頼性基準を満たしていなかったことを示していると論じた。