World Mobile、盗難ブリッジ鍵が原因のWMTx不正発行と説明

World Mobileは、Ethereum上で不正なWMTxミントを可能にしたセキュリティインシデントに関する新たな詳細を明らかにした。Watkinsは、この攻撃をCardanoとEthereum間の転送を承認するために用いられていた盗難鍵に結び付ける一方で、CardanoのコントラクトおよびCardanoを基盤とするWMTxが侵害されていないことを確認した。

盗難鍵により不正なトークン発行が可能に

Watkinsによると、攻撃者はSingularityNETのブリッジを介した転送を承認するために使われていた署名鍵を入手した。この侵害されたアクセスにより、$WMTXを含む当該ブリッジ基盤に接続された複数のトークンで不正ミントが可能になった。

公開されたオンチェーン調査では、Ethereum上で約5380万の不正なWMTxトークンがミントされたことが確認された。同一の攻撃クラスターは、不正なAGIX、NTX、CGVの発行や、以前にFetch.aiのコンバーターから約870万FETが引き出された事案にも関連付けられている。

Watkinsは、SingularityNETとその創業者Ben Goertzelに対し、完全な根本原因報告書の公開、影響を受けたプロジェクトへの対応、ならびに法執行機関との協力を求めた。World Mobileは本件をスイスおよび英領ヴァージン諸島の当局に報告した。

Watkinsの声明時点で、SingularityNETは最終的な技術報告書を公表していなかった。鍵が侵害された手口、不正アクセスの継続期間、影響を受けた認証情報の管理責任などは、公に文書化されていない。

World Mobileは、さらなる不正ミントを防ぐためにセキュリティチームが対応する一方で、取引所との調整も開始した。Watkinsは、自身の最新情報の時点で大半の取引所で取引が停止されており、次の対応は各プラットフォームの協力に依存すると述べた。

Cardano WMTxコントラクトは影響を受けず

WMTxはWorld Mobileのユーティリティトークンであり、ユーザー、AirNodeのオペレーター、EarthNodeのインフラを結ぶ分散型通信エコシステムを支える。ネットワーク手数料、ステーキング、World Mobileのエコノミーへの参加を担う。

SingularityNETのブリッジは、ミントとバーンの仕組みによりCardanoとEthereum間でWMTxを移動させるために開発された。元の統合ドキュメントでは、ブリッジ取引に署名する専用のCardanoモジュールが記載されており、Ethereum側では対応するトークン供給を作成するためにminterロールが用いられていた。

このアーキテクチャでは、片方のネットワークでの事象が、もう一方のネットワークでのトークンのミントまたは解放を正当化するかどうかを署名鍵が確認する。その鍵を支配できれば、正当なロックやバーンの事象が伴っていなくても、受け取り側のコントラクトが技術的に有効な承認として受け入れてしまう可能性がある。

Watkinsは、CardanoのWMTxコントラクト、Cardanoのウォレット、World MobileのCardanoステーキングシステムが侵害されていないことを確認した。不正な供給は、ブリッジ基盤のEthereum側を通じて作られた。

ただし、取引所やデータ提供者は異なるネットワーク版を同一資産の一部として扱うため、Cardanoの保有者も広範な市場影響にさらされた。したがって、Ethereumでの不正発行は、Cardanoのトークンポリシーを変更することなく、サポートされる各ネットワーク全体の価格形成や流動性に影響を与え得る。

World Mobile、サードパーティ製ブリッジへの依存を見直し

Watkinsは、より強固なセキュリティ監督なしに、他組織が管理するブリッジ基盤にWorld Mobileが今後も依存することはできないと述べた。同社は調査後に選択肢を評価し、将来のクロスチェーン接続をどのように管理すべきかも含めて検討する。

World MobileはCardanoからの離脱を発表していない。プロジェクトがEVMネットワークへ全面的に移行する可能性について問われた際、Watkinsは最終判断を示さなかったが、ユーザーがCardano上で$WMTXを保有できる選択肢は維持されると確認した。今後、Cardanoと他ネットワーク間でトークンを移転する方法は未定だ。

Watkinsはまた、このインシデントがWorld Mobileの通信サービスの展開、AirNodeの配備、EarthNodeのテスト、計画中のメインネット運用を遅延させることはないと述べた。同社は事業資金を継続的なトークン販売に依存しておらず、顧客はブリッジとは無関係に同社のモバイルサービスを利用し続けているとした。

現在の復旧プロセスは、取引所との連携、不正供給の特定、技術的知見の公表に依存している。侵害されたブリッジへの同様の依存を再び生まない形で、Cardanoを基盤とするWMTxをどのようにEVMエコシステムと接続させるかは、別途のインフラ判断によって決定される。