分散型で無防備：DeFiハッキングの仕組みと実例

DeFiプラットフォームへの攻撃件数は年々増加しています。分散型金融（DeFi）市場では数兆円規模の資金が流通しており、攻撃が多発するのも当然といえるでしょう。専門家によると、主な原因はDeFi分野の急速な発展と、十分なテストやセキュリティ監査が行われないまま多くのプロジェクトが市場参入を急いでいることです。ハッカーはさまざまな手法で暗号資産を狙いますが、最も多いのはスマートコントラクトの脆弱性を突いた攻撃です。

スマートコントラクトは分散型金融エコシステムの中核を担っています。他のソフトウェア同様、人間が開発するため、プログラムコードや設定にミスが生じるリスクは常に存在します。スマートコントラクトに脆弱性があれば、その上に構築された分散型アプリケーションも同様に攻撃対象となり、ハッカーの侵入口となります。

2022年・DeFiプラットフォーム主要ハッキング被害5選

昨年も仮想通貨ハッキング事件が多発しました。Chainalysisのレポートによると、ハッカーによる被害総額は30億米ドルに上ります。最大規模の被害はクロスチェーンブリッジやDeFiプロトコルで発生しました。

Ronin（6億2,500万米ドル）

Roninネットワークは、Sky Mavisが開発した人気ブロックチェーンゲーム「Axie Infinity」をホストしていますが、2022年3月にETHとUSDC合わせて6億2,500万米ドル相当を盗まれました。ハッキングが発覚したのは1週間後、ユーザーがAxie InfinityからETHを引き出せないと訴えたことがきっかけでした。これは過去最大の暗号資産盗難事件であり、北朝鮮のハッキング集団「Lazarus Group」の犯行とされています。

攻撃者は元Sky Mavis社員へのフィッシングメールを使い、同社のITインフラへ侵入。社内サーバー上に保管されていたネットワークバリデータノードの秘密鍵を特定し、盗み出してRoninネットワーク全体の制御を掌握しました。

Roninネットワークは9つのバリデータで保護されており、そのうち4つはSky Mavisが管理。資金の入出金承認には9つ中5つのバリデータが必要でした。攻撃者はAxie DAOが管理する5つ目のノードをバックドア経由で乗っ取り、ネットワークから資金を引き出すことに成功。合計で173,600ETHと2,550万USDCが流出しました。

専門家によれば、ハッカーは盗んだコインをTornado Cash、Blender、ChipMixerなど複数の暗号資産ミキサーで分散させた後、最終的にBitcoinネットワークに移したとみられています。

Sky Mavisは、被害者の多くに自社資金およびBinance主導のファンドレイジングによる1億5,000万米ドルを用いて全額補償したと発表しました。

Wormhole（3億2,500万米ドル）

Wormholeは、ETHをSolanaネットワーク上のラップドトークン（Wormhole ETH）に変換できるクロスチェーンブリッジプロトコルです。

2022年2月、正体不明のハッカーがこのクロスチェーンブリッジを攻撃。セキュリティ署名を偽造し、無から12万WETHを生成してEthereumネットワーク上でETHと交換し、Wormholeの流動性プールを空にしました。

ハッキング後、ネットワークブリッジは一時停止しましたが、数日後に復旧。被害額はWormhole開発元のJump Cryptoが全額補填し、資金はユーザーに返還されました。

Nomad（1億9,000万米ドル）

2022年8月に別のブリッジ「Nomad」が被害に遭いました。NomadはEthereum、Avalanche、Moonbeam、Evmos、Milkomeda各ネットワークを接続するクロスチェーンブリッジで、1億9,000万米ドル相当が流出しました。

原因はプロジェクトのコアスマートコントラクトの設定ミス。開発者がアップデート時に誤りを犯し、プログラミングの基礎知識があれば誰でも資金引き出し権限を自分に付与できる状態となっていました。エラー発覚までに300人以上が不正出金を試みましたが、一部は「ホワイトハット」ハッカーで、2,200万米ドルを後に返還しています。専門家はこの事件を「初の分散型集団強盗」と呼んでいます。

Beanstalk Farms（1億8,200万米ドル）

このEthereum上のステーブルコインプロトコルは2022年4月に攻撃を受けました。ハッカーは以下の手順でネットワークに侵入しました：

• Uniswap、SushiSwap、Aaveなど複数の分散型プラットフォームで未担保のフラッシュローンを利用し、USDC、USDT、DAIなど10億米ドル超を調達；
• これらの資金をBEANプールに追加し、ネットワーク投票権を持つStalkガバナンストークンの67%を獲得；
• ウクライナへの寄付を装った悪意あるガバナンス提案（BIP-18、BIP-19）を2件提出・承認。スマートコントラクト監査企業BlockSecによれば、これらの提案に仕込まれた悪質なコードにより資金がプロトコルから流出しました。

サイバーセキュリティ企業PeckShieldは、この事件によるBeanstalkの被害額を1億8,200万米ドルと推定しています。

Mango Markets（1億1,400万米ドル）

Solana上に構築されたレンディング＆トレーディングプラットフォーム「Mango Markets」は、2022年10月に市場操作によって1億1,400万米ドルを失いました。

後に判明したところによると、ハッキングチームのリーダーはトレーダーのAvraham Eisenberg氏。MNGOトークンの価格操作を通じて顧客預かり資産の引き出しを狙いました。手口は以下の通りです：

• Mango Marketsに500万USDCを入金；
• MNGOトークンで大規模なロングポジションを取り、1時間で価格を1,000%以上急騰させ、自身の口座価値も急増；
• 高騰した担保価値をもとに複数のコイン・トークンで1億1,400万米ドル分のローンを借り入れ、資金を引き出して逃走。

Eisenberg氏は後に開発チームと和解し、6,900万米ドルを返還。その後、自身の身元を公表しましたが、2022年12月に米国司法省により市場操作関連の罪で逮捕されました。

2023年、仮想通貨ハッカーの現状は？

PeckShieldの分析によれば、2023年1月には24件の仮想通貨ハッキングが発生し、被害総額は880万米ドルに上りました。これは前年同月比で14分の1に減少しています。最大の攻撃はLendHubで発生し、1件で600万米ドルが流出。他にもMycelium、Thoreum Capital、Midas Capital、OMNIなどが被害を受けました。

また、2023年2月には209件・3,500万米ドル相当のハッキングが確認され、前年同月比で10分の1以下となっています。

この間、目立ったセキュリティ革新はなく、今後もDeFiプロトコルのハッキングは続くと見られています。ここで古くからの格言が役立つかもしれません。「卵を一つのかごに盛るな」——資産を一点集中させると、一度の被害ですべてを失うリスクがあります。