Curve Finance、ハッキング被害で約100億円の不正流出

田村聖次
ニュース

Curve Financeでエクスプロイト発生

DeFi（分散型金融）プロトコルのカーブファイナンス（Curve Finance）提供の流動性プールがハッキングを受け、約100億円（約7,000万ドル）規模のエクスプロイト（不正流出）被害が7月31日に発生した。

今回ハッキング被害を受けた流動性プールは、ジェーペグド（JPEGd）の「pETH-ETH」プール、メトロノーム（Metronome）の「sETH-ETH」プール、アルケミクス（Alchemix）の「alETH-ETH」プール、カーブファイナンスの「CRV-ETH」プールだ。なお、これらのプールに預け入れられた全銘柄が被害にあったという。

ハッキングの原因については、EVM互換ブロックチェーンでスマートコントラクトを開発するためのプログラミング言語「Vyper（ヴァイパー）」の特定のバージョンに含まれていた脆弱性を突いた「リエントランシー（再入）攻撃」によるものだと分かっている。

なお脆弱性があるのは「Vyper」のバージョン0.2.15、0.2.16、および0.3.0であり、これらを使用して作成されているスマートコントラクトは被害を受ける可能性があるという。BNBチェーンでもすでに同様の攻撃が行われており、約120万円（約8.6万ドル）のハッキング被害が報告されている。

なお「リエントランシー攻撃」は、スマートコントラクト内の関数実行中に別の関数の実行を割り込ませるなどして、何度も引き出しや送金の実行を行うものである。ほとんどのDeFiプロトコルのハッキング被害は、この「リエントランシー攻撃」によるものだ。

通常、流動性プールなどのスマートコントラクトは、「リエントランシーロック」というモジュールを使用して、「リエントランシー攻撃」を防いでいる。今回のハッキングは「リエントランシーロック」が正常に動作しない不具合を突いたものであるとのことだ。

なおカーブファイナンスはツイッターにて、先日同プロトコルが発行した米ドルステーブルコイン「crvUSD」やそれに付随したプールは被害を受けていないと述べている。

関連ニュース

デザイン：一本寿和
images：iStocks/WhataWin

関連するキーワード

この記事の著者・インタビューイ

田村聖次

和歌山大学システム工学部所属 格闘技やオーケストラ、茶道など幅広い趣味を持つ。 SNSでは、チェコ人という名義で、ブロックチェーンエンジニアや、マーケターとしても活動している。「あたらしい経済」の外部記者として記事の執筆も。

合わせて読みたい記事

最新の記事をさらに見る >