会計処理のバグであり、盗まれた鍵ではない——だからこそArcusのこの事例は読む価値がある。

事実：dYdXを手がけたチームが構築したDEX、Arcusは11月10日、ニューヨーク時間の11月9日22時07分ごろ、新規アカウントが取引所のサブアカウント間送金の処理における脆弱性を悪用したと明らかにした。そのアカウントは、実際の保有額を大幅に上回る残高を記録し、出金が停止されるまでに2.234.391 USDGを引き出した。さらに約300万ドル相当の出金リクエストは、ブリッジのレート制限によって保留された。脆弱性は1時間足らずで修正され、Arcusは会社の資金で不足分を全額補填した——ユーザー資金への影響はなかった。取引所が不正なアドレスを特定できるよう、攻撃者の最初のアドレスも公開された。（Arcus公式インシデント報告、11月10日；The Block、11月11日。）

私の見解：今年の大規模ハッキングと比べれば金額は小さいが、重要なのは脆弱性の種類だ。漏えいした秘密鍵ではなく、内部の会計処理が誤った計算をしていた。被害を食い止めたのは、300万ドル相当の出金を止めたブリッジのレート制限と、ユーザーに負担をかけず不足分を補った会社の資金、この2つだ。市場が依然として慎重な中、最大のリスクは市場そのものではなく、コード内の前提に潜んでいる場合もあるということを思い出させる事例だ。

注目しているのは、公開されたアドレスを通じて盗まれた資金を追跡できるか、そして他のDEXもサブアカウントのロジックを改めて監査するかどうかだ。

皆さんは、DEXにとってどちらの保護がより重要だと思いますか？コード監査、それともこのような出金制限でしょうか？

これは私の分析であり、金融アドバイスではありません——DYORをお忘れなく。

#KeamananCrypto #DeFi