契約の脆弱性

Backbone Labs が発行した流動性ステーキングトークン bOSMO は、Osmosis コミュニティプールでの大規模な償還後、契約のサポートがほぼ尽きました。Osmosis フォーラムの 10 月 15 日の開示によると、約 40,508 枚の OSMO が 1,037 のアカウントへの補償に指定されました。開示の著者 Johnny Wyles は、このステーキング契約が少なくとも 2026 年 4 月から各償還に対して過剰に支払われており、実際には約 1.676 OSMO が 1 枚の bOSMO に対して決済されていると述べていますが、契約で声明された交換レートは約 1.117 OSMO です。この脆弱性は、Backbone の独自のバリデーターにステーキングされた OSMO を繰り返し計算し、償還者が約 50% の資産を多く得ることを可能にしましたが、その代償として残りの保有者のサポートが希薄化しました。この欠陥は、コミュニティプールのポジションを清算する準備をしているときに明らかになり、通過したガバナンス提案 1049 によって Margined が管理する金庫ポジションの撤回が承認され、流動性ビジネスの管理が終了する際に回収された OSMO が破棄されることになりました。このプールの bOSMO 金庫は約 113.7 万枚の bOSMO を保有しており、これはこのトークンの総供給量の約 97% に相当します；10 月 9 日 21:59 ET に実行された償還取引では 776,000 枚の bOSMO が破棄され、約 130 万枚の OSMO のアンバインドが開始されました。補償はブロック 72,237,940 時の適格残高を基準とし、1.1174 OSMO が 1 枚の bOSMO に対して計算され、スナップショット後に購入された bOSMO は補償の対象外となります。流動性プールや他の契約に保管されている基盤保有者も同様に含まれます；

Law360 の報道によると、Uranium Finance に関与する暗号資産の盗難事件がアメリカのマンハッタン連邦裁判所で審理を開始しました。検察は、メリーランド州のサイバーセキュリティコンサルタントであるジョナサン・スパレッタが 2021 年にこのプロトコルのスマートコントラクトの脆弱性を利用して攻撃を行ったと指摘しています。その中で、2 回目の攻撃では 26 の資金プールから約 5,330 万ドルが移動され、プロトコルの運営が停止しました。関連する主張は検察の指控であり、有罪判決ではありません。

加密支払いプラットフォーム Rain は、その監視システムが脆弱性を発見したと述べており、少数のプログラムが古いバージョンの Solana コントラクトを使用していることが影響を受けており、他のプログラムには影響がないとのことです。Rain は事件の範囲を特定するために調査を開始しました。Rain チームは、古いバージョンの Solana コントラクトを使用しているすべてのプログラムを成功裏にアップグレードし、関連する問題は解決されました。Rain はこの問題を引き続き監視し、第三者のデジタルフォレンジック専門家を雇って調査を行い、法執行機関や関連する規制機関と協力します。すべての影響を受けたユーザーには全額補償が行われ、Rain は救済プロセスを開始し、迅速かつ責任を持って処理を完了することに尽力しています。

Summer.fiはLazy Summer Protocol USDC金庫攻撃事件分析報告を発表しました。攻撃者は単一の原子取引で2つのUSDC金庫のシェア価格を操作し、約604万ドルの預金者資金を引き出しました。攻撃の核心は金庫資産の純資産価値（NAV）の計算方法にあります。攻撃者は2025年11月の事件後に一時停止されたがまだ完全に削除されていないSilo Arkに、旧来の評価を保持しているトークンを寄付し、金庫の総資産が約9.5%虚増し、シェア価格が引き上げられ、その後高騰した価格で償還し、金庫の実際の流動性から資金を引き出しました。報告書は、この攻撃は契約コードの脆弱性によるものではなく、金庫のオフラインプロセスにおける段階の欠如によるものであると強調しています------そのArkの預金上限はゼロに設定されていましたが、依然として活発な資産集中においてNAVに計上されていました。攻撃者は3ヶ月前に複数のウォレットを通じて必要なトークンを計画的に蓄積し、一部の利益をTornado Cashを通じて移転しました。事件発生後、Guardian Multisigはすべてのオンチェーン金庫を一時停止し、預金上限をゼロに設定しました。Lazy Summer DAOは今後数日間で影響を受けたユーザーへの補償プランおよび金庫再起動計画について議論します。

Web3 セキュリティ会社 GoPlus Security は、最近スマートコントラクトの脆弱性攻撃が頻発しており、特に数年前に展開された古いコントラクトが攻撃者の主要なターゲットになっていることを指摘しています。攻撃者は AI 技術を利用してこれらの脆弱性を迅速に発見し、利用しています。最近の典型的な事件には以下が含まれます：6月9日、7年前に展開されたToken of Power（TOP）コントラクトがイーサリアム上で攻撃され、約150万ドルの損失；5月25日、3年前に展開されたWUSD.fiコントラクトが攻撃され、約20万ドルの損失；6月14日と6月18日、Aztec Networkが2年前に展開された古いコントラクトに対して連続して攻撃され、総損失は400万ドルを超えました。GoPlus Security は、従来の監査方法では歴史的な遺留コントラクトを効果的にカバーすることが難しいと考えており、AI に基づく継続的監査（Always-on Audit）サービスが現在最も効果的な解決策である可能性が高いとしています。これにより、短時間で古いコントラクトの安全性をチェックし、信頼性とコストのバランスを取ることができます。

GoPlusの分析によると、ステーブルコインプロトコルStablRは、イーサリアム上のマルチシグ契約のセキュリティ設定の問題（マルチシグの閾値が1）および保有者の秘密鍵が盗まれたことにより、StablR $EURR、$USDRステーブルコインが20%脱ペッグし、攻撃者は約280万ドルの利益を得た。

チェーン上のアナリストPeckShieldの監視によると、Trading Protocolの金庫YieldCore-3rd-dealが攻撃を受け、約39.8万ドルの損失が発生しました。攻撃の原因は、契約に呼び出し者の権限検証の欠如という脆弱性が存在するためで、攻撃者はこの脆弱性を利用して承認メカニズムを回避し、金庫内の資金をすべて引き出しました。現在、関連するチェーン上の取引記録は公開されています。

PeckShieldによると、3月には20件の主要な暗号ハッキングおよび脆弱性事件が発生し、約5200万ドルの損失が出ました。これは2月の2650万ドルから約96%の増加です。その中で、Resolv Labsは攻撃を受け、2500万ドル以上のUSDTペッグのステーブルコインUSRTを失いました。攻撃者はそのUSR発行契約の脆弱性を利用して、約8000万枚の無担保ステーブルコインを追加で発行し、USRの価格は約80%暴落し、Morpho Blue、Euler、FluidなどのDeFiプロトコルにおいてシステミックな不良債権が形成されました。さらに、Xユーザーの"Sillytuna"は、約2400万ドルのAaveイーサリアムUSDC（aEthUSDC）が、誘拐と暴力の脅威を伴うオフライン攻撃で盗まれたと述べています。攻撃者はその後、ビットコイン、モネロ、及び複数のLayer 2ネットワークを通じて資金を分散して移転しました。

BlockSecによるInverse Financeの攻撃疑惑に関する報告BlockSecは、Inverse Financeが約24万ドルの資金を失った疑いがあると監視しています。YAM FinanceはXプラットフォームでこの事件についての見解を発表し、今回の事件はInverseの契約の脆弱性によるものではなく、LlamaLendのメカニズムに関連していると述べました。彼らの説明によると、攻撃者はLlamaLend上でsDOLAに対して「寄付攻撃」を仕掛け、価格を約1.188 sDOLA = 1 DOLAから約1.358 sDOLA = 1 DOLAに引き上げ、その後sDOLAを担保にしてcrvUSDを借り入れたユーザーのポジションをほぼすべて清算しました。担保の価値が上昇したにもかかわらず清算が発生した理由はまだ完全には解明されておらず、通常であればユーザーを清算ラインから遠ざけるはずの状況です。注目すべきは、今回の価格異常の「二次効果」が依然として続いているため、LlamaLendでレバレッジ取引を行わず、sDOLAのみを保有しているユーザーの帳簿上の利益が約14%向上していることです。さらに、現在DOLAは二次市場での取引価格がペッグ値より約1%のディスカウントが存在しており、一部のコミュニティメンバーは借入ユーザーに対してディスカウント段階でDOLAの債務を返済することを検討するよう提案しています。

市場の情報によると、数時間前にイーサリアム、Arbitrum、Base、BSCに展開された被害契約に対する一連の疑わしい取引が発見されました。これらの取引は、2名の作成者が展開した契約が攻撃を受け、総損失は1700万ドルを超えています。被害契約はオープンソースではなく、任意呼び出し機能の脆弱性が存在するようです。攻撃者は既存のトークンの承認を悪用し、transferFrom操作を実行して資産を盗みました。影響を受けた展開者：0xbeef63AE5a2102506e8a352a5bB32aA8B30B3112------損失約367万ドル；0x9cb8d9BaE84830b7F5F11ee5048c04a80b8514BA------損失約1,341万ドル。

慢雾は X プラットフォームで、MistEye が Fusion に関連する潜在的な疑わしい活動を検出したと発表しました。根本的な原因は、プロジェクトチームが EIP-7702 によって制御される EOA アカウントを通じて委託した基盤コントラクトに脆弱性が存在し、この脆弱性により任意の外部呼び出しが可能になり、攻撃者が PlasmaVault の悪意のあるブレークコントラクトを作成および構成できるため、コントラクトから資金を引き出すことができるということです。

根据慢雾区块链不完全统计，全年共发生安全事件 200 起，造成损失约 29.35 亿美元。相比 2024 年（410 起，损失约 20.13 亿美元），尽管事件数量明显下降，但损失金额却同比上升约 46%。从生态分布来看，Ethereum 仍然是受攻击最为频繁、损失最为严重的生态，全年损失约 2.54 亿美元，占比显著领先；BSC 紧随其后，相关损失约为 2193 万美元；Solana 则位列第三，全年损失约 1745 万美元。按项目赛道划分，DeFi 项目是最常遭攻击的领域：2025 年共发生 126 起安全事件，占全年总数约 63%，造成损失约 6.49 亿美元，相较 2024 年（339 起，损失 10.29 亿美元）下降约 37%。交易平台事件仅 12 起，却造成高达 18.09 亿美元损失，其中 Bybit 单次即损失约 14.6 亿美元，是全年最严重事件。从事件的攻击原因来看，合约漏洞是主要诱因，共 61 起；X 账号被黑紧随其后，共 48 起。报告指出，随着生成式 AI 在过去两年加速普及，攻击者也开始将其纳入诈骗与攻击链条。与传统工具相比，AI 在文本、语音合成、图像与视频生成上的能力显著降低了诈骗成本，攻击不再依赖粗糙的话术或明显异常的行为，而是通过高度拟真的内容、连贯的交互和精确的对象选择，使受害者在心理层面更难察觉风险。

ChainCatcher のメッセージによると、暗号分析家 Ai 姨 @ai_9684 xtpa が監視したところ、アドレス 0xf3d...58db2 が2時間前に悪意を持って 50 億枚の GAIN を増発し、迅速に売却したため、コイン価格が 95% の急落を引き起こし、累計で約 301 万ドルを現金化したとのことです。このアドレスは 11 時間前に作成され、資金は 13 時間前に Tornado から受け取った ETH を Symbiosis で BNB にクロスチェーン交換したものです。ハッカーは 7:04 に増発後 22 分で売却を開始し、約 55 分間続けました。現在、deBridge を通じて利益を Solana、Ethereum、Base、Arbitrum などのネットワークにクロスチェーンしています。分析によれば、今回の操作はプロジェクト側の行動ではなく、契約の脆弱性を利用したものに見えるため、具体的な状況は公式の発表で確認される必要があります。

ChainCatcher のメッセージ、Arbitrum エコシステムのモジュラー取引プラットフォーム Kinto の共同創設者 Ramon Recuero が昨日の攻撃事件に対する投稿を行いました。ハッカーは Arbitrum 上の無限に鋳造できる K トークンの脆弱性を利用し、11 万枚の K を鋳造して攻撃を仕掛け、Morpho Vault と Uniswap v4 の流動性プールを枯渇させようとしました。この事件により、約 155 万ドルの ETH と USDC の損失が発生し、K トークンの価格が激しく変動しました。現在、Kinto チームは関連する関係者と協力して盗まれた資金を追跡しています。公式は、資産が回収できた場合や補償資金が調達できた場合、7 月 31 日までに攻撃前のスナップショットに基づいてユーザーの K トークン残高を復元し、攻撃前の価格に基づいて CEX での取引を再開すると述べています。

ChainCatcher のメッセージによると、Base エコシステムゲームプロジェクト Henlo Kart は「すべての HENLO 保有者と LP ポジションのスナップショットを取得しました。HENLO コントラクトに脆弱性が見つかりました。チームは解決策を模索しています。Henlo はすべてのチームトークンの LP を撤回しました。現在の LP ポジションから削除されたすべての流動性は、新しい LP ポジションに再預け入れされます。」と述べています。Henlo Kart トークン HENLO は過去 24 時間で 96% 以上下落し、時価総額は現在 10.6 万ドルと報告されています。HENLO の時価総額は 1 月 14 日に 9200 万ドルに達していました。

ChainCatcher のメッセージ、1inch チームは旧版 Fusion v1 パーサーのスマートコントラクトに脆弱性が存在することを発見しました。SlowMist セキュリティチームの分析によると、今回の事件で約 240 万 USDC と 1276 WETH の損失が発生し、合計で 500 万ドルを超えています。公式に確認されたところによると、今回の脆弱性はエンドユーザーの資金には影響を与えず、損害を受けたのは Fusion v1 を使用しているパーサーコントラクトのみです。1inch は現在、対策を講じており、セキュリティ状況を引き続き監視しています。

ChainCatcher のメッセージ、SlowMist が安全警報を発表し、3 月 5 日に 1inch に関連する疑わしい取引を検出し、損失額は約 100 万ドルであると述べています。以前のメッセージ、1inch はそのチームが 3 月 5 日に古い Fusion v1 実装のパーサーのスマートコントラクトにおける脆弱性を発見したことを明らかにしました。

ChainCatcher メッセージ、イーサリアム共同創設者 Vitalik Buterin が Bountycaster にて「サブリニアステーキング契約（Sublinear Staking Contract）の脆弱性バウンティ」を発表しました。賞金総額は 2 ETH で、契約内のいかなるエラー / 脆弱性を特定し、具体的な修正提案を行うことを目的としています。複数の問題が発見された場合、賞金は深刻度に応じて配分されます。具体的な要件は、発表されたサブリニアステーキング契約において、ユーザーがホワイトリストに登録されている場合（ERC1155 コレクションとして指定）、N 個のコインをステーキングでき、各スロットで N ** 0.75 個のコインのリターンを得ることができます。契約が支払いに必要なトークンを持っている限り、これが可能です。資金が尽きた場合でも、fundedUntil メカニズムにより、各ステーキング者は fundedUntil タイムスタンプ以前の各期間に報酬を受け取ることが保証されており、このメカニズムは部分準備金にはなりません。

ChainCatcher のメッセージ、クロスチェーン相互運用性プロトコル LayerZero の CEO ブライアン・ペレグリーノがソーシャルメディアで Across Protocol チームに宛てて次のように述べています。「あなたたちのトークン契約には重要な問題があります。内部のプライベート関数であるべき機能が誤って公開されており、この機能は Open Zeppelin がその ERC20 トークン実装で記述したもので、トークンを破棄することを目的としています。そして、これにより契約の所有者に与えられています------これにより、あなたたちはいつでもどのウォレットからでもトークンを引き出すことができ、任意のアカウントの残高を 0 にすることができます。さらに、あなたたちの Across Protocol と UMA Protocol の契約には無限の鋳造能力がありますが、私はこの二つの問題について通知しましたが、あなたたちは気にしていないようです。この問題を解決するためにトークンを再発行する必要はありません：契約の所有権を新しいスマートコントラクトに移転し、鋳造量が総供給量を超えないようにし、破棄を許可しないようにします。これは永久的な脆弱性であるため、新しい契約は不変でなければならず、所有権を移転する機能を含めてはいけません。もし活発な脆弱性報奨プログラムがあるなら、この情報を LayerZero チームに帰属させることができます。」

ChainCatcher のメッセージによると、Coin98 Analytics の統計によれば、最近記録された前 15 件の暗号攻撃事件は合計で約 3.13 億ドルの損失をもたらしました。そのうち、9 件の攻撃は契約の脆弱性によるもので、残りはマルウェア、フラッシュローン攻撃、または未知の攻撃手法によるものです。