スマートコントラクトの脆弱性

据 GoPlus 最新报告，2026 年 1 月，Web3 因主要安全事故造成的经济损失达 4.14 亿美元。安全事件类型包括智能合约漏洞、社会工程学攻击、钓鱼攻击、貔恘盘、Rugpull 等。其中，Exploit（包括合约攻击，社工欺诈，私钥泄露等）因 20 起主要事件，造成 3.75 亿美元的损失。因钓鱼攻击造成的总损失约 2000 万美元，受害者人数约 5000 人。当月在 ETH、Base、BSC 监测到新增貔貅代币（HoneyPot）390 个，相较 12 月有所降低。

据 The Block 报道，跨链流动性协议 CrossCurve（原名 EYWA）确认其跨链桥协议"正遭受攻击"，原因是其智能合约中的一个漏洞被利用，导致约 300 万美元资金被跨多个网络窃取。区块链安全机构 Defimon Alerts 发现，此次攻击的攻击途径是 CrossCurve 的 ReceiverAxelar 合约中的网关验证绕过漏洞。分析显示，任何人都可以使用伪造的跨链消息调用该合约的 expressExecute 函数，从而绕过预期的网关验证，并触发协议 PortalV2 合约上的未经授权的代币解锁。该协议由 Curve Finance 创始人 Michael Egorov 支持，此前已融资 700 万美元。

据 Anthropic 発表の最前線レッドチームテスト結果、AI エージェントはシミュレーションされたブロックチェーン環境で複数のスマートコントラクトの脆弱性を特定し、潜在的に利用可能な金額は 460 万ドルに達します。テストは、コントラクト分析、コマンドラインツールの設定、ネットワーク再構築、Exploit の生成と検証などの完全なプロセスをカバーし、スマートコントラクトのセキュリティ評価の新しいベンチマークを発表しました。この研究は、Anthropic、MATS プロジェクト、Fellows プログラムの共同で実施されました。

GoPlus の監視によると、Web3 はスマートコントラクトの脆弱性、ソーシャルエンジニアリング攻撃、フィッシング攻撃、詐欺、Rugpull などのセキュリティ事故により、総損失が 4584 万ドルを超えています。その中で：GMGN ユーザーがフィッシング攻撃を受け、攻撃者が第三者のトークンサイトを偽造して非承認取引を誘導し、107 人のユーザーが 70 万ドルを超える損失を被りました；CZ などの KOL に注目された Twitter アカウントが @OracleBNB に改名され、@four_meme_ と提携してトークンを発行したと偽装し、その後 RUG で 34 BNB を利益として得ました。

ChainCatcher のメッセージによると、CrowdFund Insider は、アーンスト・アンド・ヤング（EY）がそのブロックチェーン分析ツールであるスマートコントラクトとトークンレビュー（SC&TR）ツールに新しい人工知能機能を導入したと報じています。この機能は、より広範なコードカバレッジを通じてスマートコントラクトの脆弱性検出を強化し、契約シミュレーションプロセスを簡素化することを目的としており、より迅速で堅牢なスマートコントラクトレビューを実現します。この AI 機能により、ユーザーは自然言語のプロンプトとツールのテストエンジンを使用して、契約レビュー全体のプロセスを自動化およびシミュレーションすることができ、効率が大幅に向上します。この機能は、既存のテストおよびシミュレーションライブラリの膨大なデータに基づいてトレーニングされており、レビュー担当者をサポートし、脆弱性検出能力を向上させます。自動化により、顧客は同じリソースを維持しながら、より高いテストカバレッジを実現でき、EY チームのレビュー時間を 50% 短縮します。EY のグローバルブロックチェーン責任者であるポール・ブロディは次のように述べています。「スマートコントラクトの真の価値を最大限に引き出すためには、企業はまず、テストプロセスにおける時間のかかる、見落とされがちな手動プロセスを排除する必要があります。私たちのブロックチェーン分析ツールは、ブロックチェーンと AI がどのように相互補完し、プロセスの自動化と改善を実現するかを示しています。」

ChainCatcher のメッセージによると、The Block が報じたところでは、Forta は a16z crypto、Coinbase Ventures およびその他の投資家に支援された Web3 セキュリティ会社であり、新しい製品であるファイアウォールを発表しました。これは、スマートコントラクトの脆弱性を検出し防止するのに役立ちます。このファイアウォールは、FORTRESS と呼ばれる機械学習および人工知能モデルを採用しており、取引ログをチェックすることで高リスク取引を分析および検出します。Forta ファイアウォールのビジネスモデルは、毎月固定料金を請求することですが、Beal は具体的な金額を明らかにすることを拒否しました。初期の顧客には Euler、Plume、Balmy が含まれています。

ChainCatcher のメッセージ、ブロックチェーン技術会社 ConsenSys は、スマートコントラクトテスト用の「Diligence Fuzzing（ファジングテスト）」ツールを公開しました。新しいツールは、「ランダムで無効なデータポイント」を生成し、コントラクトが公開される前にコントラクト内の脆弱性を発見することを目的としています。この新しいツールは以前はクローズドテスト版として提供されており、開発者はアクセスの承認を得る必要がありました。8月1日から、この承認プロセスは不要になりました。

ChainCatcher のメッセージ、Coinbase の責任者 Conor Grogan がツイートを発表し、彼が ChatGPT-4 にリアルタイムのイーサリアムスマートコントラクトを挿入したところ、AI が瞬時にセキュリティの脆弱性を見つけ出し、さらにはそれらの脆弱性を利用して攻撃する方法を示したと述べています。Conor Grogan は、このコントラクトが2018年にハッカーによって脆弱性を利用されて攻撃されたことを補足し、さらに Euler のスマートコントラクトも試みたが、コントラクトが長すぎて ChatGPT-4 に処理できなかったことを明らかにしました。Conor Grogan は、AI が最終的にスマートコントラクトをより安全で、構築しやすくするだろうと考えています。（出典リンク）

ChainCatcher のメッセージによると、派盾（PeckShield）の監視により、イーサリアムアラームクロック（Ethereum Alarm Clock）スマートコントラクトが悪用され、攻撃者がより高い取引手数料を設定することで、予想以上の ETH での返金を受け取ることが可能になったことが示されています。通常、コントラクトを呼び出すユーザーは、取引手数料をわずかに上回る報酬しか受け取らないため、現在この脆弱性により約 204 ETH が盗まれ、約 26 万ドルの価値があります。報告によると、イーサリアムアラームクロックスマートコントラクトは、ユーザーが受取人アドレス、送金額、取引時間を事前に決定することで、将来の取引をスケジュールすることを可能にしています。（出典リンク）