Curve Finance、ハッキング被害で約100億円の不正流出

Curve Financeでエクスプロイト発生

DeFi(分散型金融)プロトコルのカーブファイナンス(Curve Finance)提供の流動性プールがハッキングを受け、約100億円(約7,000万ドル)規模のエクスプロイト(不正流出)被害が7月31日に発生した。

今回ハッキング被害を受けた流動性プールは、ジェーペグド(JPEGd)の「pETH-ETH」プール、メトロノーム(Metronome)の「sETH-ETH」プール、アルケミクス(Alchemix)の「alETH-ETH」プール、カーブファイナンスの「CRV-ETH」プールだ。なお、これらのプールに預け入れられた全銘柄が被害にあったという。

ハッキングの原因については、EVM互換ブロックチェーンでスマートコントラクトを開発するためのプログラミング言語「Vyper(ヴァイパー)」の特定のバージョンに含まれていた脆弱性を突いた「リエントランシー(再入)攻撃」によるものだと分かっている。

なお脆弱性があるのは「Vyper」のバージョン0.2.15、0.2.16、および0.3.0であり、これらを使用して作成されているスマートコントラクトは被害を受ける可能性があるという。BNBチェーンでもすでに同様の攻撃が行われており、約120万円(約8.6万ドル)のハッキング被害が報告されている。

なお「リエントランシー攻撃」は、スマートコントラクト内の関数実行中に別の関数の実行を割り込ませるなどして、何度も引き出しや送金の実行を行うものである。ほとんどのDeFiプロトコルのハッキング被害は、この「リエントランシー攻撃」によるものだ。

通常、流動性プールなどのスマートコントラクトは、「リエントランシーロック」というモジュールを使用して、「リエントランシー攻撃」を防いでいる。今回のハッキングは「リエントランシーロック」が正常に動作しない不具合を突いたものであるとのことだ。

なおカーブファイナンスはツイッターにて、先日同プロトコルが発行した米ドルステーブルコイン「crvUSD」やそれに付随したプールは被害を受けていないと述べている。

関連ニュース

デザイン:一本寿和
images:iStocks/WhataWin

関連するキーワード

この記事の著者・インタビューイ

田村聖次

和歌山大学システム工学部所属
格闘技やオーケストラ、茶道など幅広い趣味を持つ。
SNSでは、チェコ人という名義で、ブロックチェーンエンジニアや、マーケターとしても活動している。「あたらしい経済」の外部記者として記事の執筆も。

和歌山大学システム工学部所属
格闘技やオーケストラ、茶道など幅広い趣味を持つ。
SNSでは、チェコ人という名義で、ブロックチェーンエンジニアや、マーケターとしても活動している。「あたらしい経済」の外部記者として記事の執筆も。

合わせて読みたい記事

【6/18話題】テザーゴールド裏付けの米ドルステーブルコインaUSDT、SNPITのSNPTがGate. ioとMEXCに上場へなど

テザー社、金裏付けの米ドルステーブルコイン「aUSDT」発表、オーストラリア証券取引所、VanEckの「ビットコイン現物ETF」取扱へ、Doodlesのアバター作成プラットフォーム「stoodio」、イーサL2「Base」に移行へ、日本発Snap to Earn「SNPIT」のトークン「SNPT」、Gate. ioとMEXCに上場へ、アニモカジャパン、NFTローンチパッド「SORAH」提供開始、バイナンスにZKsync(ZK)上場へ、ユニスワップ、イーサリアムL2「ZKsync」で稼働開始、台湾、暗号資産業界の自主規制団体「台湾暗号資産ビジネス協会」を正式始動、ビットコインL2「スタックス(STX)」、ブロック生成で約9時間の遅延発生、金融庁、無登録運営で「LBank Exchange」に警告、インターネットコンピューターの支援団体「ICP Japan」発足、ローンチイベント6/29開催

Sponsored