流動性プール

SlowMistは安全警報を発表し、NEMが攻撃を受け、約821,920ドルの損失を被ったと報告しています。根本的な原因は、NemTokenV2が流動性プール（LP）に転入されるトークンを売却量として記録したが、交換の決済を検証しなかったことです。攻撃者はこの脆弱性を利用し、転送を繰り返し実行し、skim()を呼び出して転入トークンをクリアし、flushLpSellRecycle()の操作を合計42回実行しました。これにより、流動性プールの元々の備蓄が破壊され、NEMの備蓄残高が低下し、その後、引き上げられた価格で残りのNEMを売却し、USDTを引き出しました。

THORChainは、ZEC流動性プールがオンラインになったことを発表し、ネットワークはノードのローテーションを完了し、すべてのノードがZcashチェーンの監視を開始したと述べています。THORChainは、取引機能が次のステップになるとしています。現在の流動性は浅いため、初期の取引ではスリッページなどのリスクに注意が必要です。これまでに、THORChainはプロトコルのアップグレードにおいてZcashのネイティブサポートを追加し、UTXO処理、RPCロジック、ZEC価格オラクルを含め、メインネットの統合を継続的に進めています。

クロスチェーン流動性プロトコル ThorChain の公式発表によると、ネットワークの中断は緊急のセキュリティメカニズムであり、プロトコルの安全を守ることを目的としています。停止は特定の資金の選択的な凍結ではなく、個人に対する単独の交換でもありません。発表では、2026年5月のセキュリティ事件において、1070万ドルが流動性プールから盗まれたことが言及されています。その際、攻撃者のアドレスはブラックリストに載っていなかったため、ThorChain上での取引が可能でした。ThorChainは、許可のないブロックチェーンプラットフォームであり、設計の目的は何の検閲も行わないことです。

公式の発表によると、Arc 公共ブロックチェーンは現在、バイナンスウォレット DeFi に接続されており、ユーザーはバイナンスアプリを通じて Arc 上の指定流動性プールに流動性を提供し、ウォレット内で LP ポジションを一元管理できます。

memecoin STRATEGY の評価額は Robinhood Chain で約 720 万ドルであり、主流の流動性プールはトークン化された MSTR 株式とペアになっています。このトークンは 9 月 4 日にローンチされ、Strategy 株式の権利証明書ではありません。STRATEGY の価格は約 0.0078 ドルで、流動性は約 80.86 万ドル、24 時間の取引量は約 69.1 万ドルです。支持者たちは、プール内の MSTR Stock Tokens の価値が 10 日以内に 36.2 万ドルを超えると主張しています。

Solanaエコシステムの貸付プロトコルJupiterは、月曜日にLend v2を発表し、預金と借入ポジションが同時に取引流動性として機能することを可能にし、ユーザーは同じ資金で貸付利息と交換手数料の分配を得ることができます。この製品には、オプションのSmart CollateralおよびSmart Debt機能が追加され、資産を関連性のある流動性プールに自動的にペアリングします。トレーダーがこれらのプールを通じて交換をルーティングすることで、預金ユーザーの利回りが向上し、借入コストが相殺される可能性があります。関連性プール内では、1つのステーブルコインがペッグを外れても、借入者は保護されますが、担保提供者は任意の資産の損失を負担します。Jupiterは、この設計をステーブルコインの取引ペアおよびSOLとそのステーキングバージョンで構成される取引ペアに制限し、関連リスクを制限しています。

Bifrost の監視によると、ハッカーは流動性プールの脆弱性を利用して、vDOT 単一コインプールおよび vASTR/ASTR、vMANTA/MANTA プールから約 72 万ドル相当の資産を盗みました。関連資産はその後 HitBTC に預けられ、最終的にバイナンスに流入しました。Bifrost はバイナンスのセキュリティ部門に資金凍結申請を提出し、法執行機関に報告書とオンチェーン証拠パッケージを提出しました。これには取引追跡、ウォレットアドレス、タイムスタンプが含まれています。現在、Bifrost はすべての流動性マイニング報酬を停止し、全面的なセキュリティレビューを実施しています。

オンチェーン現物取引所Rialtoは、Robinhood Chainトークン発行プラットフォームVaroを発表しました。VaroはUniswap V3に基づく契約構造を採用しており、バインディングカーブや卒業費用は設定されていません。トークン発行時にUniswap流動性プールを通じて即座に取引が可能で、Uniswap、GMGN、LI.FI、BasedBot、Definitiveなどのプラットフォームと連携しています。Varoでの各トークン発行時の供給量は固定で1億枚であり、初期時価総額はVaroによって設定されます（例えば、6万枚のUSDGまたは30枚のWETH）。チームや開発者のための予備分はなく、流動性ポジションは契約内に永久にロックされ、取引手数料は1%で、そのうち30%はRialtoに帰属します。プロジェクトチームは、同名のトークンの混同を防ぐために「1つのコードに対して1つのトークン」のメカニズムを採用しており、より高い初期時価総額の設定は、スナイパーボットによる低コストでのトークンの蓄積に対する経済的動機を低下させることを目的としています。

Decrypt の報道によると、クロスチェーンブリッジプロトコル Allbridge はフラッシュローン攻撃を受けて Core プロトコルを一時停止しました。現在、攻撃者は Solana のステーブルコイン流動性プールから約 165 万ドルの資産を盗みました。ブロックチェーンセキュリティ機関 PeckShield と CertiK の分析によると、攻撃者は Solana の貸出プロトコル Kamino から 112 万ドルのフラッシュローン資金を借り入れ、その後複数回のステーブルコイン交換操作を通じて Allbridge プール内の価格メカニズムを操作し、低価格で資産を交換し、資金をクロスチェーンでイーサリアムアドレスに移転しました。攻撃の過程で、攻撃者は数千ドルの USDT を交換して約 224 万ドルの USDC を得て、その後資金をブリッジしてイーサリアムに移し、さらに分散させました。現在、一部の資金がまだ回収可能かどうかは不明です。Allbridge は、チームが安全上の理由から Core プロトコルを一時停止し、影響を受けた流動性提供者に対して直ちに資金を引き出すよう求めたと述べています。攻撃により流動性プールが不均衡になったため、一部のトレーダーはアービトラージの機会を利用して利益を上げ、Allbridge は関連ユーザーに収益の返還を呼びかけ、資金は影響を受けた LP の補償に使用されるとしています。チームは、現在ユーザーの資金にさらなるリスクは存在せず、調査が完了次第、詳細な事件分析報告を発表する予定であり、流動性プールを削除した状態で Core プロトコルを再度オンラインにする計画があると述べています。これは Allbridge にとって二度目の類似のフラッシュローン攻撃です。2023 年 4 月、同プロトコルの BNB Chain 流動性プールは類似の脆弱性により約 57.3 万ドルの損失を被り、その後プロジェクト側は大部分の資金を回収し、流動性計算メカニズムを調整したと述べています。

クロスチェーンブリッジプロトコル Allbridge Core でセキュリティインシデントが発生し、公式はプロトコルの調査のために一時停止し、影響を受けた流動性プール（LP）を保有するユーザーに対して直ちに資金を引き出すように推奨しています。今回のセキュリティインシデントにより流動性プールが不均衡になり、一時的なアービトラージの機会が生じました。公式はアービトラージユーザーに対して資金を返還し、影響を受けた流動性提供者（LPs）への補償に充てるよう呼びかけています。また、Onchain Lens の監視によると、Allbridge Core の損失はすでに110万ドルを超えています。

DeFiインフラ企業Ensoは、レポートで「トキシックプール」と呼ばれる悪意のある流動性プールの一種を明らかにしました。これらは、取引を操作してウォレットやDEXアグリゲーターに虚偽の最適価格を返し、チェーン上で実際に実行される際にロジックを変更します。Ensoは、関連する悪意のあるコントラクトが読み取り専用のシミュレーション環境を識別し、最適化された価格を返すことができると述べています。取引がチェーン上にブロードキャストされた後、より悪い価格で実行されるか、取引が失敗することになります。操作されたCurveプールは、12.9万件以上の交換を処理し、約22.5万ドルの虚高な価格を引き起こしました。また、3.7万件以上の取引がロールバックされ、約3万ドルのガス代が消費されました。Polygon上では、悪意のあるUniswap v4フックが虚偽の為替レートでルーティングシステムを引き寄せ、その後99.1%の取引失敗率を引き起こしました。Ensoは、EthereumおよびPolygon環境における虚偽の価格を検出するために、実行保護製品Enso Shieldを更新したと述べています。

英国の税務機関 HMRC は、2027年4月6日から暗号通貨の貸出と流動性プールに対して「無収益無損失」の税制を適用することを発表し、約70万人に影響を与えると予想しています。

英国歳入関税庁は、DeFi貸付プロトコルおよび流動性プールに暗号資産を預けることがもはや課税処分と見なされないことを確認しました。資本利得税は、投資家が資産を実際に経済的に処分する時に課税されることになります。この措置は月曜日に発表され、2027年4月6日に発効し、1992年課税利益法が改正されます。HMRCは、この措置が約70万人の暗号貸付および流動性プールを利用する個人および受託者に影響を与えると見積もっています。Aaveの創設者Stani Kulechovは、この取り組みが「正しい方向」であると述べました。

英国歳入関税庁は政策文書を発表し、2027年4月6日から個人および信託が参加する一部の暗号資産ローンおよび流動性プールの取り決めに対して「無増益無損失」処理を適用することを提案しています。つまり、経済的処分が行われる前に資本利得税の徴収を繰り延べることになります。

安全分析プラットフォーム GoPlus は「あるユーザーが Uniswap で約 1126 枚の ETH（約 201 万ドル）を 5776 枚の LIT（約 1.4 万ドル）に交換し、約 200 万ドルの損失を出した」事件についてツイートし、この事件の核心的な原因はサンドイッチ攻撃ではなく、同じブロック内のバックランナーによるアービトラージであると述べました。ルーティングコントラクトは大量の WETH を流動性が極めて低い AVAIL/WETH 取引プールに投入し、ユーザーは市場価格から大きく乖離した価格（合理的な価格の約 120 倍）で AVAIL を購入することになりました。その後、同じブロック内で、バックランナーはごく少量の実際の価格の AVAIL を使ってそのプールで逆取引を行い、約 1072 枚の WETH を引き出し、その大部分（約 1018 枚の ETH）をビルダーへの支払いとして Titan Builder に支払いました。

BNB Chain OLPC/LABUBU の流動性プールが攻撃を受けたという関連の噂に対し、PancakeSwap の公式は対応公告を発表し、プラットフォームは今回の安全事件に関する情報に留意していると述べました。初期の調査によれば、PancakeSwap 自身のスマートコントラクトには安全な脆弱性は存在しないとのことです。プロジェクトチームは引き続き事件の完全な原因を掘り下げており、今後さらに多くの手がかりを把握した際には、最初に最新の調査進展を外部に同期する予定です。また、公式はユーザーに対し、すべての関連事件情報は PancakeSwap の公式チャネルで発表された内容を基準とするように注意を促しています。

Starknet AMM プロトコル mySwap が発表したところによると、mySwap CL プロトコルが脆弱性攻撃を受け、流動性プールから約 30 万ドルが引き出されました。公式によれば、mySwap インターフェースは 6 か月以上閉鎖されており、新しい流動性注入は受け付けていません。損失を受けた資金は主に 10 万以上のポジションに分散している残りの LP ポジションです。攻撃者はブリッジで盗まれた資金を利用し、Railgun を使用して資産の流れを混乱させました。この攻撃により、プロトコル内のすべての残りの流動性がほぼ枯渇しました。

チェーン上の調査員Specterが安全警告を発表しました。Solana DeFiプロトコルRaydiumの古い流動性プールが攻撃を受けた疑いがあり、攻撃者は約134万ドルの資産を盗みました。主にUSDC、RAY、wSOLが含まれています。ハッカーは盗まれた資金をブリッジを通じてイーサリアムに移し、その後Tornado Cashに預けてミキシングを行いました。

慢雾の創設者余弦は、Asterixが遭遇した攻撃が昨日のFlooring ProtocolやBMPと類似していると発表しました（基盤プロトコルはDN404とBT404であり）、高位NFT IDの移動操作がオーバーフローして再利用されています。攻撃者は脆弱性の共通点を探しているようです。報告によると、Asterixは昨日、ASTXトークン契約に影響を与える攻撃事件を公表し、Uniswap v4流動性プールが6月8日に攻撃を受けたと述べています。攻撃者は242件の取引を通じて約30枚のETHを盗みました。脆弱性はDN404の初期バージョンにおける承認操作のトークンID制限チェックの欠如に起因しており、攻撃者は過去のトークン承認を利用してプール内でトークンを繰り返し売却しETHを取得し、さらに偽造IDを通じて同額のトークンを引き出すという循環操作により資金が枯渇しました。スマートコントラクトは不変で修正不可能であるため、チームはユーザーに現在のプールおよびトークンとの相互作用を停止するよう推奨しており、安全なトークンへの移行を計画しています。チームは攻撃者が脱獄版AIツールを使用してファジングテストを行い、非常規の論理パスを発見したのではないかと疑っています。