1,900万ドルが19分で消失——その間、金庫は完全に安全だった

ここでは何もハッキングされていません。だからこそ、この事件は本当に不気味なのです。

Coinbaseのイーサリアム・レイヤー2ネットワークであるBase上のDeFi金庫から、10月4日、約1,783 wstETH（約600万ドル相当）が失われました。セキュリティ研究者は、Aave V3のコアコントラクトが侵害されていないことを確認しています。Baseネットワークも侵害されていません。すべてのシステムは、設計どおりに動作していました。

実際に起きたことはこうです。この金庫では3-of-7のマルチシグウォレットが使われており、変更には7人の承認者のうち3人の承認が必要でした。何らかの方法で、新たにデプロイされたコントラクトが金庫の借入先ホワイトリスト——資金を引き出すことを許可された相手のリスト——に追加されました。ホワイトリストに登録されたその悪意あるコントラクトは、aBaswstETHを借り入れ、Aaveが正規に提供している仕組みを通じて償還し、本物のwstETHを手に入れました。取引は6回に分かれ、合計わずか19分でした。

セキュリティ研究者たちが繰り返し指摘する、厄介な点があります。署名デバイスが侵害されたのか、承認者が内容を十分理解しないまま承認するよう仕向けられたのか、あるいは内部の人間による意図的な行為だったのか、公式にはまだ確認されていません。オンチェーンデータによると、プロジェクトチームはその前の25日間、トレジャリー関連の取引を一度も実行していませんでした。この金庫がそもそも継続的に監視されていたのか、疑問が生じています。

これは、わずか1週間のうちに起きたAave関連またはBase関連のセキュリティインシデントとしては4件目であり、同じ侵害された金庫には、約3,170万ドル相当の資産がなお危険にさらされていると報じられています。

ここから得られる教訓は、「DeFiを避けよう」ということではありません。誰をホワイトリストに追加するのか、その判断がどれだけ慎重に検証されているのかというアクセス制御は、スマートコントラクトのコードそのものと同じくらい重要なセキュリティ層になりつつある、ということです。

技術的には何も「壊れて」いなかったからこそ、このような攻撃がより不安に感じますか？ それとも、むしろ偶然ではなく、予防可能なものに思えますか？ 👇

#Base #Aave #ETH #zyverra #CryptoSecurity