分散型金融（DeFi）プロトコルのNotional Financeにおいて、過去の仕様であるレガシーエスクロー契約から約173万ドルが不正に引き出される事象が発生しました。今回の不正流出は、初期仕様であるV1コードに存在していた整数オーバーフローのバグが悪用されたことによるものです。プロトコルが進化を続けるなかでも、過去のスマートコントラクトが攻撃リスクとして顕在化した事例として、Web3業界におけるセキュリティ管理の観点から重要視されます。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
被害の概要と脆弱性の要因
今回の攻撃では、Notional Financeが過去に展開していたレガシーエスクローが標的となり、173万ドル相当の資産が流出しました。
原因となったのは、V1コード内に残されていた整数オーバーフロー（プログラムが数値を処理する際に許容範囲の上限を超え、意図しない数値へと巻き戻る計算エラー）のバグです。悪意のある攻撃者がこの計算上の不具合を意図的に引き起こすことで、エスクロー内に保管されていた資金の引き出しを可能にしたと見られます。
レガシーコントラクト管理における教訓
今回の事象は、ブロックチェーンプロトコルにおける旧バージョン（レガシーコード）の管理に関する課題を示しています。
DeFiプロトコルでは機能拡張や安全性向上に伴い新バージョンへの移行が行われますが、過去のエスクローやスマートコントラクトがブロックチェーン上に稼働したまま残されている場合、最新仕様では解消されている脆弱性が依然として攻撃対象となるリスクを抱えます。初期のコード仕様に基づく資産の保管場所が潜在的な脆弱性となり得ることが浮き彫りになりました。
ポイント
- Notional Financeの旧仕様（レガシー）エスクローから、攻撃者により173万ドルが不正に流出しました。
- 不正流出の直接的な原因は、V1コードに存在していた整数オーバーフローのバグが悪用されたことです。
- プロトコルの新旧移行後も過去のコントラクトが攻撃対象になり得る現実が示された点で注目されます。
- DeFi運用において、過去バージョンのコード監査や旧コントラクトの資産管理が重大なリスク要因となることを再認識させた点で重要です。