Ekuboでセキュリティインシデント発生
分散型金融（DeFi）プロトコル「エクボ（Ekubo）」のEVMチェーン上のスワップルーターコントラクトでセキュリティインシデントが発生した。5月6日に同プロトコル公式Xアカウントで発表された。
エクボは、スタークネット（Starknet）発の集中流動性型AMM（自動マーケットメーカー）で、現在はスタークネットの他、イーサリアム（Ethereum）およびアービトラム（Arbitrum）に展開している。
エクボのXでの発表によると、影響を受けているのはEVMチェーン上のスワップルーターコントラクトのみで、流動性提供者（LP）およびスタークネット上のプロトコルは影響を受けていないという。
同プロトコルのXでは、現在問題の範囲を調査していると報告されている。また、安全対策として残存しているトークン承認をすべて取り消すようユーザーへ呼びかけられている。
あわせて同プロトコルは、影響対象となるコントラクトアドレスを公開した。対象はイーサリアム上のV2およびV3コントラクト、アービトラム上のV3コントラクトとなっている。
今回の発表直後、セキュリティ企業ブロックエイド（Blockaid）は、エクボプロトコルのイーサリアム上のV2カスタム拡張コントラクトに対する進行中のエクスプロイトを検知したと発表した。
ブロックエイドによると、これまでに約140万ドル（約2.2億円）相当の資産が流出したという。また影響を受けるのは、問題となったV2コントラクトにトークン利用承認を付与していたユーザーに限定されるとしている。
同社によると、今回の問題は、コントラクト内部で利用される入力データの検証不足に起因する可能性がある。攻撃者は、被害者アドレスや送金額を含むデータをコントラクトへ渡し、その情報を信頼した処理側が「transferFrom」を実行した可能性があると説明している。
また、セキュリティ企業クイルオーディッツ（QuillAudits）は、攻撃では85件のトランザクションで0.2WBTCずつ、合計17WBTCが引き出されたと分析している。なお、同社によると、フラッシュローンや価格オラクル操作は確認されていないという。
さらにオンチェーン分析では、攻撃者が取得した17WBTCをベローラ（Velora）でUSDC、DAI、ETHなどに交換し、その後トルネードキャッシュ（Tornado Cash）へ送金した可能性があるとの指摘も出ている。
エクボのXでの発表では、現在事後報告書が作成中であり、準備が整い次第公開予定とのこと。また同プロトコルチームは、今回のインシデントに関連すると主張する不審なリンクへ注意するよう呼びかけている。
なお、今年は分散型金融（DeFi）関連のセキュリティ事案が相次いでいる。4月には、ドリフト（Drift Protocol）やケルプDAO（KelpDAO）など複数プロトコルで大規模な被害が発生している。
オンチェーンデータサービス「ディファイラマ（DeFiLlama）」によると4月は「件数ベースで暗号資産史上最もハックの多い月だった」との見方を示している。件数は20件を超えたとみられる。
There is an active security incident on Ekubo swap router contract on EVM chains only. Liquidity providers are not affected. Starknet is not affected.
— Ekubo (@EkuboProtocol) May 5, 2026
We are investigating the scope of the issue, but to be safe revoke all outstanding approvals: https://t.co/9vHDLVjQWP
🚨Blockaid’s exploit detection system has identified an on-going exploit on an @EkuboProtocol custom extension contract on Ethereum.
— Blockaid (@blockaid_) May 5, 2026
$1.4M drained so far.
Ekubo users are not at risk. Only users who have approved this specific v2 contract as a spender (any token) are at…
🚨 $1.4M drained from @EkuboProtocol
— QuillAudits ➡️ Consensus Miami 🇺🇸 (@QuillAudits_AI) May 6, 2026
17 WBTC. 85 times. One transaction.
No flashloan. No oracle manipulation.
A public function with blind calldata forwarding lets the attacker hijack a privileged callback and drain any wallet that had approved the protocol. pic.twitter.com/nSl2XPsyJa
画像：PIXTA