erc4626

Summer.fi 610万ドルがフラッシュローンで持ち去られた。問題はオンチェーンの流動性ではなく、「信頼」を1行で入れてしまうことにある。

攻撃者はフラッシュローンで 6540万USDC + 100万USDTを調達し、まず6480万USDCをFleet Commanderに預けて持分を取得。その後、SiloVaultの持分をSilo Financeが管理する戦略コントラクトArkに直接ねじ込み、通常の入金経路を迂回することで、Ark残高を0から714万ドルへ“寄付”した。

Fleet CommanderはtotalAssetsを計算する際、Arkが自ら申告した元の残高を完全にそのまま信用し、内部での検証は一切行わない。そのため攻撃者は流れに乗って、7100万USDCを引き出し、1回の取引で純益は約610万ドルとなって離脱した。

Onchain Lensはこれを、複数コントラクト間のERC-4626寄付攻撃と定性している。この種の脆弱性の本質は、vaultが戦略コントラクトを「信頼できるオラクル」として扱っている一方で、ERC-4626標準自体が外部からの送金（転入）と実際の入金を強制的に隔離していない点にある。

保有者への3つの注意点:
1. 利用しているプロトコルが、戦略層に対して独立した会計を行っているかどうかを確認する。balanceOfを直接読むだけではない
2. 利回りが異常に跳ね上がるvaultは、まずTVLの構成を見てからAPYの話をする
3. フラッシュローン + 持分の膨張――これはここ2年のDeFiで最も頻出のコンボだ。もはやブラックスワンだと思わないこと

コードの「信頼」は安全ではない。検証こそが安全だ。

#DeFi #SmartContractSecurity #ERC4626

Summer.fi のフラッシュローン攻撃でピンポイントにヘッドショットされ、610万ドルが帳消しになった。

攻撃者の手順は実はとても「クリーン」だ。6540万USDC＋100万USDTを借り入れ、6480万USDCをFleet Commanderに預けて持分を取得し、その後SiloVaultの持分を戦略コントラクトArkへ直接移転する。これでArkの帳簿残高が0から714万ドルへ膨らむ。

問題はFleet CommanderのtotalAssets計算が、Arkから報告された元の残高をそのまま信頼しており、内部検証が一切ない点にある。その結果、攻撃者は勢いよく7100万USDCを償還し、約610万ドルを純利益として手に入れた。全ては1回の取引で完了した。

これは典型的な、複数コントラクト間のERC-4626寄付（ドネーション）攻撃だ。ERC-4626の持分価格は元々、裏付けとなる資産の算定に依存する。一方で金庫が外部の戦略コントラクトの残高報告を「盲信」してしまうと、攻撃者が戦略コントラクトへ直接送金／持分を送れるだけで、1口当たりの価値を人為的に引き上げて裁定し、離脱できてしまう。

再利用できそうなリスク観点はいくつかある：
- 金庫は、戦略の報告残高を無条件に信頼すべきではない。内部の記帳と差額検証が必要だ；
- 戦略コントラクトは「意図しない入金」の資産や持分をフィルタし、NAVに含めてはならない；
- ERC-4626のネスト構造が絡むプロトコルは、すべて寄付攻撃の面を見直す価値がある。

DeFi の脆弱性は、数学的な欠陥よりも「誰が誰を信頼するか」という境界設計のほうから減っていくことが多い。

#DeFi #Summer_fi #ERC4626

Summer.fi はまた ERC-4626 のおなじみの古い問題に逆戻りしたが、今回は“跨合約”のやり方に変えただけだ。

攻撃者はフラッシュローンで 6,540 万 USDC + 100 万 USDT を調達し、まず Fleet Commander に 6,480 万を預けて持分を取得する。その後、SiloVault の持分をそのまま Silo Finance が管理する Ark の戦略コントラクトに突っ込み、通常の預入手順を迂回して、強引に Ark の残高を 0 から 714 万ドルまで注ぎ込んだ。

重要な脆弱性：Fleet Commander が totalAssets を計算する際、Ark のレポートした“原始残高”をそのまま信頼し、内部検証を一切行わない。そこで攻撃者は 7,100 万 USDC を償還し、単発の取引で純益約 610 万ドルを得てそのまま立ち去った。

いつもの教訓:
— 金庫の戦略コントラクトに対する残高は“無条件に信頼してはいけない”
— ERC-4626 の寄付/インフレ攻撃の亜種は今後も繰り返し登場する
— 跨合約の会計は外部の balanceOf を読むのではなく、内部の台帳で処理すべき

DeFi プロトコルの積み重ねが複雑になるほど、信頼の境界は隙間から突かれやすくなる。監査済みのコードだからといって、安全なアーキテクチャであるとは限らない。

#DeFi安全 #ERC4626 #SummerFi

Summer.fi 又栽了——610 万ドルの一発フラッシュローン取引で金を抜き取られる、問題はオラクルでも秘密鍵でもなく、「信じるよ」という一行の"我信你"コードにある。

攻撃者の手順は実にあっけないほど単純だ：
· フラッシュローンで 6540 万 USDC + 100 万 USDT を借りる
· Fleet Commander に通常どおり 6480 万 USDC を入金し、持分を取得
· 重要な一手——SiloVault の持分を**直接送金**して、預入口をすり抜けて戦略コントラクト Ark に移す
· Ark の帳簿残高が瞬時に 0 から 714 万ドルに膨れ上がる
· Fleet Commander が totalAssets を計算する際、Ark が自己申告した元の残高をそのまま採用。攻撃者は 7100 万 USDC を償還して立ち去る

利ざや 610 万、全行程が一つの取引だけで完了。

これは典型的な、クロスコントラクトによる ERC-4626 寄付攻撃だ。ERC-4626 本来の持分インフレの脆弱性は皆がもう2年前から対策済みだが、金庫が「Vault + 複数の戦略コントラクト」という組み合わせアーキテクチャに分解されると、リスクは単一コントラクトの内部から、コントラクト間の**信頼境界**へと移動する。Fleet Commander は Ark の報告残高を true（確定）だとして内部検証を一切しなかった。つまり、金庫の鍵を「誰でも」この取引で自分にとって有利に膨張させられる“寄付”を行えるアドレスに渡したのと同じだ。

DeFi の収益アグリゲーション勝負を振り返る上で注目すべき点：
1. 戦略コントラクトの残高申告はホワイトリスト経由で行い、無主の入金を拒否する
2. totalAssets の計算では、内部台帳と外部残高との差分チェックを導入すべき
3. モジュール化された金庫が複雑になるほど、「クロスコントラクト呼び出し」を外部入力として監査する必要がある

監査報告が通ったからといって安全とは限らない。組み合わせアーキテクチャでは攻撃面が繰り返し掘り起こされている。

#DeFi安全 #ERC4626 #Summerfi

@OpenLedger

正直に言うと、数ヶ月前、もしタイムラインで「ERC-4626統合」を見たら、たぶんそのままスクロールしていたと思う😱

だって、それは開発者だけが気にするような技術的なアップデートに聞こえるから。

でも、考えれば考えるほど、人々はキラキラした表面にばかり注目して、基盤を完全に無視しているように感じる。

みんなが大きなAIモデルについて話している。

より多くのコンピュート。

より賢いエージェント。

すべてがより速く。

いいね。

でも、AIが単なるソフトウェア以上のものになったらどうなる？データ、モデル、エージェントが実際の経済のように振る舞い始めたらどうなる？

そこが面白くなるところだ。

OpenLedgerは単に知能について話しているわけではない。データ、AIモデル、自律エージェントのための流動性を構築しているのだ。

そして、エコシステムは、すべてのプロトコルが異なる言語を話していたらスケールできない。

それが、ERC-4626が本当に重要な理由だ。

それは人々が祝う華やかな部分ではない。

摩擦を取り除き、システムをより簡単に接続できるようにする部分なのだ。

面白いことに、退屈なアップデートが、時には他のすべてが依存するものになってしまうことがある👀

@OpenLedger #OpenLedger #ERC4626 $OPEN

ほとんどのDeFi利回り商品は、戦略、アルゴリズム、リスクモデル、リバランスロジックで競争しています。ボールトのインターフェースはあまり話題になりませんが、プロトコル間で見た目が同じになりがちです。

@OpenLedger
この均一性はERC-4626がその役割を果たしている証拠です。これにより、利回りを生むボールトが預入、引き出し、会計機能をどのように公開するかが標準化されます。利回りを生成するわけではありません。ただ、ボールトをエコシステム全体で読みやすく、コンポーザブルにします。

標準に基づいて構築するということは、その制約を受け入れることを意味します。差別化はインターフェースの上で行われる必要があり、内部ではありません。

OpenLedgerのAIボールトレイヤーは、ERC-4626の上に位置しており、置き換えるのではなく補完しています。標準がボールトのメカニクスを処理し、AIレイヤーはプロトコルがモデル駆動型の入力によって調整された動的割り当てロジックを追加しようとする場所です。

$OPEN は、ベースレイヤーでのコンポーザビリティが独自のインターフェースよりも価値があるという賭けをしています。AIレイヤーが実際に製品を差別化するのかどうかは、未解決のままです。

それは建築的な選択であり、保証ではありません。そのレイヤーが実際の配分圧力の下でどのように機能するかを見る価値があります。
#OpenLedger
#ERC4626
#open

🏦 ERC-4626 金庫標準：$OPEN がどのようにDeFiの資本管理をよりスマートにするか

@OpenledgerはERC-4626金庫標準をそのAIブロックチェーンエコシステムに深く統合しており、これはDeFiの自動化管理において重要な一歩となる可能性があります。

ERC-4626とは何か？
ERC-4626はイーサリアム上の統一金庫インターフェース標準で、預入、引き出し、残高照会などの一般的な操作を定義しています。これにより、異なるDeFiプロトコルがレゴのブロックのようにシームレスに組み合わせられます。

OpenLedgerのアプローチ：
• AIによる金庫管理 — チェーン上のAIエージェントが市場信号をリアルタイムで監視し、資金配分を自動調整
• 構造化された組み合わせ性 — ERC-4626標準に基づき、異なる金庫間でシームレスにネストや組み合わせが可能
• 自動化された資本管理 — 資金が無駄にされることはなく、AIエージェントが常に最適な収益場所を探し続ける

現在の$OPEN データ：
💰 価格：$0.19754
📈 24h：+3.65% | 7d：+4.39%
🏦 時価総額：$42.36M
💎 流通量：2.155億 / 総量10億
🔗 Ethereum + BSCのデュアルチェーンに展開

Polychain Capital、HashKey Capitalなどのトップ機関が$800万のシードラウンドをリードし、Xフォロワーは41.7万を超え、エコシステムの基盤がしっかりしています。

AIエージェントと標準化された金庫プロトコルが出会い、DeFiの自動化時代が加速しています。

#OpenLedger #ERC4626 #DeFi #AI #ブロックチェーン

⚠️ 以上の内容は参考情報であり、投資のアドバイスを構成するものではありません。