**上記の分析を要約すると、ユーザー A のアドレスが申請資格がある場合、ユーザー B に申請を許可することができます。今回、0x44Af で始まるアドレスが非常に多くのトークンを要求できる理由は、エンティティが複数の修飾子を制御しているためです。アドレスによって認証されるため、ハッカーは攻撃に抜け穴を使用しません。 **
しかし、興味深いのは、エアドロップが開かれる前に、Connext が魔女アドレスに対する「包囲」を実施し、チームが魔女アドレスを選別するのを助けるようコミュニティを招待し、回収された NEXT の 25% を内部告発者への報酬として与える用意があったことです。公式データによると、最終的に 5,725 個の魔女アドレスが特定されて資格リストから削除され、5,932,065 個のトークンが回収されました。
コネクストにまた蛾がいる？ Connext エアドロップ偽装事件について 1 つの記事で学ぶ
オリジナル | Odaily Planet Daily
著者 | 秦暁峰
2 週間待った後、レイヤー 2 相互運用プロトコル Connext は今夜ついにエアドロップ アプリケーションを公開しました (URL: しかし、独自のインシデントがありました。
アプリケーションが開いてからわずか30分後、仮想通貨KOL「Zhuzhu Bang」は、Connextのエアドロップ契約には抜け穴がある疑いがあるとのメッセージを投稿し、「科学者たちはその抜け穴を利用して他のユーザーから無制限のNEXTエアドロップを盗むことができる」とのメッセージを添付した。 0x44Af で始まるアドレス (クリックしてジャンプ) ) 頻繁な請求レコード。
!【コンネクストにまた蛾が？ Connext エアドロップ偽装イベントを理解するための記事](https://img-cdn.gateio.im/resize-social/moments-69a80767fe-3cc20904b7-dd1a6f-6d2ef1)
このニュースはコミュニティで広く拡散され、一部のユーザーがチェーン上の情報を分析したところ、0x44Af で始まるアドレスが今日正式に作成され、エアドロップが開始されてから 230 回以上受信され、取得されたトークンはすべて売却してETH、USDT、USDCに交換すると、約39,000米ドルの利益が得られました。
この時、Connext のエアドロップ契約にも不具合が発生し、一部のユーザーからはエアドロップを正常に申請できないとの報告があり、公式のエアドロップ申請が抜け穴のために閉鎖されたのではないかという噂がコミュニティで広まり始めました。
**しかし、実際のところ、Connext のエアドロップ契約には抜け穴はありません。 **
暗号KOL「Zhuzhu Bang」は、Connextのエアドロップ契約は安全であり、彼の最初の分析は読者を誤解させたと述べた。同氏は、Connext のエアドロップ契約では、エアドロップの送信者と受信者が異なるアドレスであってもよいと規定しているが、元のアドレスに署名し、通話を許可する必要があると述べた。
「最初のクレームメソッドはclaimBySignatureで、最後のパラメータは署名情報を渡すことです。この「署名」はユーザー自身がスマートコントラクトなどのメソッドを使って返します。したがって、次のように理解できます: _signature は資格情報です, _受信者ユーザー この証明書を使用すると、_受益者アドレスのトークンを取得できます。」彼は、0x44Af で始まるアドレスはトークン収集のスタジオであるべきであり、契約自体に抜け穴があるわけではないと付け加えました。
!【コンネクストにまた蛾が？ Connext エアドロップ偽装イベントを理解するための記事](https://img-cdn.gateio.im/resize-social/moments-69a80767fe-b26df59990-dd1a6f-6d2ef1)
SlowMistのセキュリティチームはOdaily Planet Dailyに対し、Connextのエアドロップ契約には明らかな抜け穴はなく、他の人がエアドロップを主張することにつながったと語った。
ユーザーは、NEXT ディストリビューター契約のclaimBySignature 関数を通じて NEXT トークンを要求できます。受信者ロールと受益者ロールがあります: **受信者ロールは、要求の NEXT トークンを受信するために使用され、受益者ロールは、NEXT を受信する資格のあるアドレスです。 航空投資の資格は、Connext プロトコルの発表時に決定されます。ユーザーが NEXT トークンを要求すると、コントラクトは 2 つのチェックを実行します。 1 つは受益者ロールの署名をチェックすること、もう 1 つは受益者ロールがエアドロップを受け取る資格があるかどうかをチェックすることです。 **
最初のチェックでは、ユーザーによって渡された受信者が受益者ロールによって署名されているかどうかがチェックされるため、ランダムな受信受信者アドレスは受益者によって署名されていない場合はチェックを通過できません。受益者アドレスを指定して署名を作成した場合、署名チェックには合格できても、エアドロップ適格性の 2 回目のチェックには合格しません。エアドロップ適格性チェックはメルケル証明書を通じて実行され、証明書は Connext プロトコルによって正式に生成される必要があります。したがって、エアドロップを受け取る資格のないユーザーは、チェックを回避して他のユーザーからエアドロップを受け取ることはできません。
**上記の分析を要約すると、ユーザー A のアドレスが申請資格がある場合、ユーザー B に申請を許可することができます。今回、0x44Af で始まるアドレスが非常に多くのトークンを要求できる理由は、エンティティが複数の修飾子を制御しているためです。アドレスによって認証されるため、ハッカーは攻撃に抜け穴を使用しません。 **
しかし、興味深いのは、エアドロップが開かれる前に、Connext が魔女アドレスに対する「包囲」を実施し、チームが魔女アドレスを選別するのを助けるようコミュニティを招待し、回収された NEXT の 25% を内部告発者への報酬として与える用意があったことです。公式データによると、最終的に 5,725 個の魔女アドレスが特定されて資格リストから削除され、5,932,065 個のトークンが回収されました。
しかし、今夜のパフォーマンスから判断すると、対魔女作戦は網をすり抜けた膨大な数の魚を残し、エアドロップ全体に多くの障害を加えたようです。
Connext のコアコントリビューターである Arjun Bhuptani 氏は、0x44Af で始まるアドレスは魔女ボットであり、大量のガベージ リクエストを Tokensoft バックグラウンドに送信し、API のクラッシュを引き起こしました。これが、エアドロップ アプリケーション インターフェイスが使用できない原因である可能性もあると書いています。 。 (日々の注: 他の人が応募できないようにすることは、より良い販売価格を得るために行われる可能性があります。)
良いニュースは、当局がこの問題に注目し、エアドロップが再開されることです。 Connext は声明を発表し、「エアドロップ Web サイトに影響し、ユーザーが請求できなくなる問題を認識しています。当社のパートナーおよびサービス プロバイダーのサーバー Tokensoft に過負荷をかけるボット アクティビティを検出しました。彼らは、この問題の解決に積極的に取り組んでいます。通常の主張です。すぐにすべてが通常に戻るはずです。」