レインのソラナカード基盤に脆弱性、アヴィシとトリアで不正出金。全額補償が完了

渡邉洋輔
ニュース

Rainのソラナカードコントラクトに脆弱性

ステーブルコインを利用したカードの発行基盤を提供するレイン（Rain）のソラナ（Solana）上のカードコントラクトに脆弱性が見つかり、同社の基盤を利用するアヴィシ（Avici）とトリア（Tria）で、ユーザーのカード残高から不正な引き出しが発生した。両サービスが8月29日に発表した。

レインは、フィンテックやネオバンク、ウォレットなどの事業者向けに、ステーブルコインを利用したカードの発行・決済基盤を提供する企業だ。アヴィシとトリアは、セルフカストディ型ウォレットやカードなどをユーザー向けに提供する暗号資産（仮想通貨）関連サービスで、カード機能にレインのインフラを利用している。

アヴィシでは1,685人のカード残高、合計500,859.22ドル（約8,012万円）が影響を受けた。トリアでは636人、合計431,945ドル（約6,909万円）が対象となった。

トリアは8月29日、レインのカードプログラムで、カード残高にチャージされたソラナ上のUSDCおよびUSDTについて不正な引き出しの報告を確認していると発表した。一方、ウォレットや先物、資産運用サービスの「アーン（Earn）」にある資金、カード残高にあるEVM資産は安全とのことだった。

レインはその後、ソラナ上のカードコントラクトの旧バージョンを使用していた少数のプログラムに影響する脆弱性を特定したと説明した。旧バージョンを使用していたすべてのプログラムではコントラクトのアップグレードが完了し、修正後に新たな不正な活動は確認されていないとのことだ。

また、レインのカード基盤を利用するジュピター（Jupiter）でも、カードパートナーが予防措置としてカード残高の出金を一時停止し、セキュリティチェックを実施した。ジュピターのアカウントやカード決済、オンチェーンウォレットには影響がなく、チェック完了後に出金は再開された。

今回影響を受けたのは、アヴィシやトリアのセルフカストディ型ウォレットそのものではなく、カード利用のためにチャージされた資金を保有するソラナのカード用コントラクトだった。ユーザーが対象となるソラナ資産をカードへチャージすると、資金はセルフカストディ型ウォレットから同コントラクトへ移動する。今回脆弱性が見つかったのはこのコントラクトで、ウォレットに保有されていたユーザー資産には影響が及ばなかった。

なお、レインの公式発表では、脆弱性を悪用した具体的な攻撃手法など、今回の事案に関する詳細な技術的原因は現時点で公表されていない。

全額返金と10%の追加補償を実施

アヴィシとトリアは8月30日、影響を受けたすべてのユーザーへの全額返金が完了したと発表した。両サービスは対象ユーザーに追加で10%を付与している。

アヴィシによると、カード発行パートナーであるレインが同サービスの返金分を全額負担した。またアヴィシは、レインやセキュリティパートナーと連携し、問題の特定から解決まで対応したと説明した。

アヴィシは今回の事案について、米連邦捜査局（FBI）が運営するインターネット犯罪苦情センター（IC3）にも報告した。IC3は、サイバー犯罪やインターネットを利用した犯罪に関する情報を受け付けるFBIの窓口だ。

アヴィシは調査完了後、今回の事案について詳細な事後報告を公開する予定だ。

参考：トリア（X）・トリア（X）・ジュピター（X）
画像：PIXTA

関連ニュース

関連するキーワード

この記事の著者・インタビューイ

渡邉洋輔

「あたらしい経済」編集部 記者 ブロックチェーンおよびデジタル資産分野を専門とし情報発信を行っている。オンチェーンデータや流動性構造など、市場設計の観点からのリサーチにも取り組んでいる。

合わせて読みたい記事

最新の記事をさらに見る >