固定金利型の分散型金融（DeFi）プロトコルであるセキュアードファイナンス（Secured Finance）は、停止していたレンディング市場の復旧を完了し、イーサリアム、アービトラム、ファイルコインの3チェーンですべて再開しました。回収前の影響額は約18万856ドル（約2,868万円）に上りましたが、ホワイトハットや外部事業者の協力による回収と財団の準備金充当により、プロトコル外の一般ユーザーに資金損失は生じていません。本件は事前に把握されていた不具合の適用保留や監視体制の空白が被害につながった事例であり、DeFiプロトコルにおけるコード管理とリスク検知の重要性を再認識させる事案といえます。
株式会社Pacific Metaが運営する編集チームです。ステーブルコイン、RWA（リアルワールドアセット）、セキュリティトークン、NFTなどのトークン活用や、オンチェーン金融、AI×ブロックチェーン領域の事業開発・実装、暗号資産の基礎知識と国内取引所の使い方まで、ブロックチェーン事業の支援で得た知見をもとに記事の企画・執筆・監修を行っています。編集部や運営会社の詳細は公式サイトと編集方針をご覧ください。
被害の内訳と資金充当による復旧プロセス
セキュアードファイナンスは9月7日に不正出金を公表し、対象のレンディング市場を停止していました。これにより利用者は5週間以上にわたり新規注文や預入・出金、満期処理や自動ロール（満期後の取引の自動更新）が制限され、同市場を運用戦略に利用するSFイールド・ボールトでもフロントエンドでの取引制限が続きました。
10月18日付で公表された事後検証報告書によると、回収前の影響総額は18万856ドルでした。その内訳は、プロトコル側の損失17万6,196ドル（約2,794万円）と、チームメンバー個人のアカウントが不正清算されたことによる担保評価額4,660ドル（約74万円）です。これらの数値は9月16日時点の評価額を10月5日に再確認したものであり、現在の未回復額を示すものではありません。
資金回収にあたっては、ホワイトハットとして知られる「c0ffeebabe.eth」とブロック構築事業者のウルトラサウンド（Ultra Sound）が協力しました。資金とブロック構築手数料の返還により計31.5547ETH（9月11日公表時の価格で約7万8,000ドル相当、プロトコル損失額の約44％）が回収されました。
運営側は、回収された資金とセキュアードファイナンス財団の準備金を、預かり資産を保管するスマートコントラクト「トークンボールト」に充当しました。同時に攻撃者のアカウントによる不正な残高やポジションを補正したため、個別のウォレットに対する直接の返金対応を行わずにユーザーの状態を回復できたと説明されています。
注文板の不具合と適用保留に至った経緯
不正流出の根本原因は、注文を価格別に管理する注文板のデータ構造に存在した不具合でした。特定の順序で注文の発注、一部約定、取消を行うと、未約定の注文が約定済みとして誤認され、実際の取引に基づかない架空のポジションや預入残高が生成される状態になっていました。攻撃者はこの架空残高を悪用し、トークンボールトから資産を引き出しました。外部の価格情報を取り込むオラクルの操作は確認されていません。
セキュアードファイナンスの開発チームは、この不具合を5月下旬の内部セキュリティレビューで把握しており、6月には修正コードの作成とテストを完了していました。しかし、注文板の動作を妨げない軽微な不整合と判断し、資金流出につながる危険性を認識していませんでした。さらに、外部監査を受けてから本番環境へ反映するという当時の運用方針をとっていたものの、次回監査が手配されていなかったため本番適用が保留されていました。チームはこの判断が誤りであったと認めています。
復旧に向けては、ブロックチェーンセキュリティ企業クオントスタンプ（Quantstamp）の協力を得て攻撃の再現や修正案の確認、資金追跡を実施しました。9月24日に根本修正を適用し、10月9日に資金補充とポジション補正を行いましたが、検証の過程で古い処理済み注文の記録が残存していることが判明したため、10月13日に再度コントラクトを停止しました。その後、10月15日に8つの注文板から計17件の古い記録を除去し、一時的な復旧用機能や権限を撤去した上で、10月16日に市場の完全再開に至りました。
検知体制の遅延と再発防止策
今回の事案では、検知体制の運用不備も初動の遅れにつながりました。従来利用していた第三者の異常検知サービスが終了していたものの、代替システムの構築が完了していなかったため、定期的な管理処理の失敗をきっかけに調査が開始されるまで、最初の不正出金から約28時間が経過していました。
これを受け、チームは再発防止策として3チェーンすべてで清算や一定条件を満たす出金を監視する仕組みを稼働させました。また、注文板の構造を検証するテストを追加したほか、コード変更時には実装担当者以外の最低1名がレビューと承認を行い、影響度や本番適用時期を判断する運用体制へと見直されています。
ポイント
- セキュアードファイナンスがイーサリアム、アービトラム、ファイルコインの3チェーンで市場を再開し、財団の損失負担とポジション補正により一般ユーザーの資産損失を回避した点
- 攻撃の原因となったコードの不具合を事前に把握・修正していながら、リスクの過小評価と監査待ちルールにより本番適用を先送りしていた点
- 異常検知サービスの終了に伴う監視体制の空白により、最初の不正出金から調査開始までに約28時間を要した点
- ホワイトハットやブロック構築事業者の協力により被害額の約44%に相当する31.5547ETHが回収された点
総研プライム
ブロックチェーンを、
徹底的に読み解く。
技術の仕組み、企業の戦略、市場の構造まで。独自の調査・分析で掘り下げる専門レポート。
初月無料で読む