回収前の影響額は約18.1万ドル、チーム外ユーザーの資金損失なし
固定金利型の分散型金融（DeFi）プロトコル「セキュアードファイナンス（Secured Finance）」の運営・開発チームが、9月に発生した不正な資金流出に関する10月18日付の事後検証報告書を公表した。同チームによると、イーサリアム（Ethereum）、アービトラム（Arbitrum）、ファイルコイン（Filecoin）の3チェーンすべてで、停止していたレンディング市場の復旧を完了し、10月16日に再開したという。
報告書では、プロトコルの損失を、ガバナンスを担うセキュアードファイナンス財団（Secured Finance Foundation）が負担したと説明された。運営・開発チーム外のユーザーで資金を失った人はいなかったとしている。
同チームは9月7日に不正出金を公表し、対象のレンディング市場を停止していた。利用者は5週間以上にわたり新規注文や預入・出金などが制限され、満期処理や自動ロール（満期後の取引の自動更新）も延期された。同市場を運用戦略に使う別サービス「SFイールド・ボールト（SF Yield Vault）」でも、同期間中、フロントエンド上で預入・出金が制限されたという。
今回の報告によると、回収前の影響額は18万856ドル（約2,868万円）だった。内訳はプロトコルの損失17万6,196ドル（約2,794万円）と、チームメンバー個人のアカウントが不正に清算され、移転した担保の評価額4,660ドル（約74万円）だ。いずれも9月16日時点の評価額を10月5日に再確認した数値で、現在の未回復額を示すものではない。
資金回収では、ホワイトハットとしての介入で知られる「c0ffeebabe.eth」と、ブロック構築事業者ウルトラサウンド（Ultra Sound）が協力したとのこと。資金の返還とブロック構築手数料の返還を合わせ、計31.5547ETHが戻ったという。9月11日の公表時に用いたETH価格では約7万8,000ドル（約1,237万円）に相当し、プロトコルの損失額の約44％にあたる。
運営側は、返還された資金と財団の準備金を、プロトコルの預かり資産を保管するスマートコントラクト「トークンボールト（TokenVault）」に充当した。あわせて攻撃者のアカウントの不正な残高やポジションを補正したことで、ユーザーの状態を回復したという。このため、個々のウォレットへの返金は必要なかったと説明している。
不正流出の原因と防止策について
今回の不正流出の根本原因は、注文を価格別に管理する注文板のデータ構造の不具合だったとのこと。特定の順序で注文の発注・一部約定・取消を行うと、未約定の注文が約定済みと誤って扱われ、実際の取引に裏付けられないポジションや預入残高が作られる状態になっていたという。
攻撃者は、こうした架空の権利や残高を利用してトークンボールトから資産を引き出した。報告書が主要な取引として挙げたのは、不正出金14件と、チームメンバーのアカウントに対する清算1件だ。運営側は、外部の価格情報を取り込む価格オラクルの操作はなかったと説明している。
また、同チームはこの不具合を5月下旬の内部セキュリティレビューで把握し、6月には修正コードの作成とテストを終えていたと明らかにした。ただし、当時は注文板の動作を妨げない小さな不整合と判断し、資金流出につながる危険性を認識していなかったという。
当時の運用では、コントラクトの変更を本番に反映する前に外部監査を受ける方針だった。次の監査が手配されていなかったため、本番への適用が保留されていたという。同チームは、この判断が誤りだったと認めている。
根本原因の修正は9月24日に3チェーンへ適用した。ただし、コードの修正だけでは攻撃で作られた不正な状態は解消されないため、10月9日に資金補充とポジションの補正を実施した。その後、延期していた満期処理などを行うため、一時的にコントラクトの停止を解除したという。
その後の検証で、処理済み注文の古い記録が残っていることが分かり、10月13日にコントラクトを再び停止した。10月15日に3チェーンの注文板を走査し、8つの注文板に残っていた古い記録17件を除去。一時的な復旧用の機能や権限も撤去し、翌16日に再開したとしている。
調査には、ブロックチェーンセキュリティ企業クオントスタンプ（Quantstamp）も協力した。同社は攻撃の再現や修正案の確認、資金追跡を支援した。ただし、今回のレビューは原因と修正に対象を絞ったもので、プロトコル全体の再監査ではない。10月の復旧とその検証は、運営・開発チームが実施したという。
報告書は検知体制の不備も明らかにした。従来利用していた第三者の異常検知サービスが終了し、代替システムの構築が攻撃に間に合っていなかったという。調査開始のきっかけは定期的な管理処理の失敗で、最初の不正出金から約28時間が経過していた。
再発防止策として、3チェーンで清算や一定条件を満たす出金などを監視する仕組みを稼働させた。また、注文板の構造を検証するテストを追加し、コード変更時には実装担当者以外の少なくとも1人がレビュー・承認し、影響と本番への適用時期を判断する運用に変更したとしている。
セキュアードファイナンスは、ゼロクーポン債と完全オンチェーンの注文板を用い、暗号資産（仮想通貨）の固定金利・固定期間の貸借を提供するプロトコルだ。
Secured Financeのレンディングプロトコルの復旧が完了し、再開しました。 長くお待たせし、ご心配をおかけしました。お待ちくださった皆さま、復旧に力を貸してくださった皆さまに感謝します。 原因と復旧の経緯、改善内容を公開しました。これからの運営を通じて、信頼を取り戻していきます。 どうぞよろしくお願いします。
— Masa Kikuchi | Secured Finance （日本語） (@onion797jp) October 18, 2026
参考：セキュアードファイナンス
画像：PIXTA