BSC上のDeFiプロジェクトにハッキング、33億円相当が不正流出

Spartan Protocolから巨額流出

分散型金融（DeFi）プロジェクトSpartan Protocolがハッキングされ、3,000万ドル（約33億円）以上の損失が発生したことが分かった。

5月2日に同プロジェクト公式ツイッターは「我々の資金プールv1がハッキングされた」と報告、盗まれた資金を回収しようと暗号資産（仮想通貨）取引所バイナンスと共同で取り組んでいるなど状況を知らせた。

Spartan Protocolは、バイナンスが提供する独自ブロックチェーンのバイナンススマートチェーン（BSC）に構築されたプロジェクト。流動性プール（LP）で資産スワップ、合成資産の生成、貸付、デリバティブなどをユーザーに提供している。

Spartan Protocolは、「今回の攻撃を特定・分析できる者がいたら連絡してほしい」と助けを求めていたが、まもなくブロックチェーン分析企業PeckShieldがこれに応える記事を発表した。

The Spartan Incident: Root Cause Analysishttps://t.co/JkA03Ba6rp
— PeckShield Inc. (@peckshield) May 2, 2021

PeckShieldによれば、ハッキングは「流動性シェアの計算に欠陥があり、プールから資産を不正流出させるために悪用された」ことが原因と説明。

ユーザーがプールから資産を引き出す際には、プール内の対応するトークンがバーン（焼却、永久に使用不可能にする）されるが、これに関わる計算を行うロジックに欠陥が見つかったという。

資産を盗んだ者はこの欠陥を利用して、複雑な手法により、プールの資産残高を膨らませて、本来は引き出せない大量の資産を引き出している。

またこの攻撃により、プールから不正流出した33億円相当について、PeckShieldはそれが現在「0x3b6e」というウォレットに保管されていることを突きとめた。同社のチームは、このウォレットの動きを厳重監視しているところだと述べた。

PeckShieldは、4月30日にバイナンススマートチェーン（BSC）エコシステムとの協力関係を発表したばかりだった。DeFiシステムのセキュリテイ強化を行うことが目的だ。

発表によると、BSC上のトランザクション量やアクティブウォレットの数は最近大幅に増加しており、市場の拡大により、dApps（分散型アプリ）の安全性を確実にするため、エコシステム監視の重要性が高まったと説明していた。

PeckShieldのオンチェーン・オフチェーン監視ソリューションは、仮想通貨トランザクションを自動的に分析し、信頼性が高く素早いリスク評価を提供。同社は、BSCコミュニティが詐欺やフィッシング、ハッキングなどを特定し、不正な取引フローを追跡し、捜査を実行するのに役立つとしている。

このセキュリテイ強化は、BSC上で出口詐欺などが相次いだ後に発表されている。

3月にはBSCに構築された分散型取引所「TurtleDEX」やイールドファーミングプール「Meerkat Finance」で、運営者がユーザー資金を持ち逃げする出口詐欺が報告されている。被害額はTurtleDEXで2.5億円、Meerkat Financeで30億円相当に及んだ。

またユーザー資金流出には至らなかったものの、3月にはBSC上の複数プロジェクトがサーバー攻撃を受けたことも報告していた。

今回のSpartan Protocolハッキングでは、まだ事前に不正な動きを検知することはできなかったようだが、手法と犯人の使用するウォレットは特定された。今後さらに監視機能が進化し不正流出を事前に防ぐようになることが望まれる。