Solana基盤の分散型取引所（DEX）であるRaydiumにおいて、2021年に廃止された古いプログラムを狙った脆弱性攻撃が発生し、約134万ドル相当の暗号資産が流出しました。攻撃者は盗み出した資金をイーサリアムネットワークにブリッジした上で、プライバシーミキサーであるTornado Cashを介して資金洗浄を行いました。Raydium側は、影響を受けた損失について財務（treasury）から全額を補填する方針を表明しています。
廃止済みの旧プログラム「Legacy AMM V3」を狙った攻撃の概要
2026年6月10日、Raydiumの非推奨となっている「Legacy AMM V3」プログラムを狙った不正な流動性の引き出し（エクスプロイト）が確認されました。
影響を受けたのは、すでに公式のユーザーインターフェース（UI）からは非表示となっており、2021年に廃止（フェーズアウト）されていた5つの古い流動性プールです。具体的には、RAY-SOL、USDC-RAY、SRM-RAY、Sollet USDT-RAY、Sollet ETH-RAYのペアが対象となりました。
流出した資産は、約15万RAY、5,603 SOL、および約89.3万USDCで、合計で約134万ドル相当に上ります。攻撃者はこれらの資産をイーサリアムへブリッジし、Tornado Cashへ送金して資金洗浄を行いました。
脆弱性の技術的背景と現行システムへの安全性
Raydiumの担当者（Infra）の発表によると、今回のエクスプロイトの原因は「LPミント（流動性提供トークンの発行）に対する不十分な検証」にあります。
旧プログラムがLPミントのアドレスを適切に検証していなかったため、攻撃者は新しいミントを作成してそれをLPトークンとして使用し、本来行われるべき割合チェックをバイパスして不正に流動性を引き出すことが可能になっていました。
一方で、現在稼働しているRaydiumのメインネットプログラムにはこの脆弱性は存在しません。現行のプログラムでは、割合チェックに「仮想供給メカニズム」を採用しており、LPミントや関連するアカウント情報を正しく検証しているため、同様の攻撃は防がれるとされています。
そのため、現在Raydiumを利用している一般的なユーザーや、公式UIを通じて取引を行っているユーザーに直接的な影響はありません。
ユーザーへの補償とDeFi業界における「レガシーリスク」
Raydiumは今回の事態を受け、影響を受けたユーザーに対して財務（treasury）から損失分を全額補償することを約束しています。
本事案は、DeFi（分散型金融）プロトコルにおける「レガシーコントラクトのリスク」を浮き彫りにしました。フロントエンドのUIや公式のソフトウェア開発キット（SDK）からアクセスできなくなっていても、オンチェーン上に過去のスマートコントラクトが展開されたまま放置されている場合、攻撃者は直接コントラクトと対話して脆弱性を突くことができます。
サービス提供側がプログラムを廃止（非推奨化）しても、オンチェーンに残る古いプールやコントラクトに資金が残されている限り、セキュリティ上の潜在的リスクであり続けるという教訓を示しています。
ポイント
- SolanaのDEX「Raydium」で、2021年に廃止された古いプログラム（Legacy AMM V3）の脆弱性を突いた攻撃が発生し、約134万ドルが流出しました。
- 影響を受けたのは非アクティブな5つのレガシー流動性プールのみであり、現在のアクティブユーザーや現行のメインネットプログラムには影響ありません。
- 攻撃の原因はLPミントの検証不足であり、攻撃者は割合チェックをバイパスして不正に流動性を引き出しました。
- Raydiumは、被害に遭ったユーザーに対して財務資金から全額を補填することを発表しています。
- 廃止済みの古いスマートコントラクトがオンチェーンに残存することによる「レガシーリスク」の重要性を、改めてDeFi業界に示す事例となりました。