Mixin Network、クラウドデータベース侵害で2億ドルを喪失——ユーザーは損失の半分を負担するよう通告された

2023年9月23日未明、攻撃者はMixin Networkのクラウドサービスプロバイダーのデータベースに侵入し、約2億ドル相当のメインネット資産を持ち去った。100万人のユーザー、約10億ドルの預託資産、48のブロックチェーンへの対応を謳うクロスチェーン転送ネットワークであるMixinは、すべての入出金を停止し、Googleとセキュリティ企業SlowMistを招集した。

この対応は同社の実態構造を浮き彫りにした。オンチェーンメッセージで盗人に2,000万ドルの懸賞金を提示し、戦利品の返還を求めた。創業者のFeng Xiaodong氏は中国語のライブ配信でユーザーに対し、Mixinは盗まれた資金の最大50%を補償し、残りは同社が後日買い戻すことを約束するボンドトークンに変換すると述べた。批評家たちは、「分散型」インフラが単一のクラウドデータベースで機能不全に陥ったことの皮肉を指摘した。

この侵害は、2023年における第三者暗号資産侵害の最悪の時期に発生した。数日前にはEllipticが5,400万ドルのCoinEx盗難について北朝鮮のLazarus Groupを非難しており、MixinはOpenSeaとNansenに続き、1週間でベンダー経由で攻撃を受けた3社目の暗号資産企業であった。Mixinのバランスシートは、大手取引所のように資本の5分の1に相当する損失を吸収することはできず、その半分は紙切れとしてユーザーの台帳に移された。

約2億ドル相当のユーザー暗号資産——同社資本の約20%。入出金は凍結され、ユーザーには資金の半分を返還し、残り半分はIOUで提供すると提示された。

単一のクラウドサービスプロバイダーのデータベースの背後にカストディを置くことは、分散型プロトコルが排除するために存在するまさにその単一障害点を再現した。

2億ドルの戦利品に対する2,000万ドルの懸賞金は、同社が技術的に資金を回収できず、盗人が交渉に応じることを期待していることを認めたものだった。

50%の補償約束とボンドトークンは、運用上の失敗をユーザー負担の債務に変換しつつ、会社を存続させた。

同月のOpenSea、Nansen、CoinExにおけるベンダー侵害は、第三者のインフラが攻撃対象領域の外側ではなく、その一部であることを示した。

プロトコルは、ユーザーの資金が単一のクラウドデータベースの背後にあるにもかかわらず、自らを分散型と称することができる。カストディが集中化されている場合、損失は最も弱い請求権を持つ者——通常はユーザー——に降りかかる。

Mixinが脆弱性の修正に取り組む間、入出金は停止されたままであり、創業者のライブ配信とオンチェーンの懸賞金メッセージが同社の公開説明となった。50%補償プラスボンドトークン計画は、MixinがIOUを買い戻せるようになるまで、失われたユーザー資金の半分をユーザー自身の台帳に載せることになった。この侵害は、第三者暗号資産インフラにとって残酷な四半期を締めくくった。OpenSeaとNansenはベンダー経由で侵害され、CoinExはEllipticがLazarusの犯行と帰属した襲撃で5,400万ドルを流出させ、Mixinが陥落する前の104日間で5件のハックにより約2億4,000万ドルが奪われた。