2400万ドルが流出、DeFiの弱点を突いた手口とは?──攻撃者は一部を返却

2400万ドルが流出、DeFiの弱点を突いた手口とは?──攻撃者は一部を返却

DeFi(分散型金融)プロジェクトのハーベスト・ファイナンス(Harvest Finance)の弱点を突いた裁定取引が発端となり、約2400万ドル(約25億円)相当のステーブルコインが10月26日、同プロジェクトのプールから流出した。コインゲッコー(CoinGecko)の調査でわかった。

アタッカー(攻撃者)は、フラッシュローン(利用者がデメリットなく大きなレバレッジを活用できる無担保ローンの一種)を利用して価格を操作し、利益を上げたと伝えられている。

攻撃によってハーベスト・ファイナンスの預かり資産(TVL)は攻撃前の10億ドル(約1050億円)超えから、当記事執筆時点では4億3000万ドル(約450億円)に減少し、同プロジェクトのネイティブトークン「FARM」の価格は1時間たらずで65%下落した。

関連記事:1週間に2度の攻撃で1億円超──DeFiレンディングを悪用、その手口とは?

攻撃から12時間で大幅に減少したハーベスト・ファイナンスの預かり資産推移
出典:DeFi Pulse

攻撃は暗号資産コミュニティでよく知られた人物

流出した資産は最終的にビットコイン(BTC)に交換されたが、それはイーサリアムミキシングサービス(監視や追跡の可能性からプライバシーを守るサービス)の「Tornado Cash」を通したあとだった。

暗号資産がミキシングされたことで、ハーベスト・ファイナンスのチームは情報を掴むことができた。

ハーベストによると、攻撃を行った人物は「暗号資産(仮想通貨)コミュニティではよく知られた」人物で、「個人を特定できる情報をかなり大量に」残した。この人物の資産が保有されている7つのビットコイン・ウォレットもすべて特定されている。

ハーベストを支える匿名の開発者たちは、この人物の個人情報をインターネット上に晒すことは望んではいないが、資産を送り返すよう説得するために、10万ドル(約1050万円)を提示している。

「アタッカーへ:あなたの実力は証明されている。資産をユーザーに返してもらえれば、多くの第三者を含めてコミュニティは大いに感謝するだろう」とチームはメッセージを送った。

DeFiへのフラッシュローン攻撃

データサイトのイーサスキャン(Etherscan)によると、攻撃そのものは、DeFiプロトコルのユニスワップ(Uniswap)、カーブ・ファイナンス(Curve Finance)、ハーベスト・ファイナンスの間での一連の裁定取引だ。

攻撃者はまず、ユニスワップから5000万ドル(約52億円)をUSDコイン(USDC)のフラッシュローンで引き出した。その後、USDコインとテザー(USDT)の間でスワップ取引を行い、2つのトークン価格を大きく変動させた。

「ハッカーではない。単なるシンプルなハーベスト・ファイナンスでの、利益たっぷりの裁定取引」

ハーベスト・ファイナンスでのテザー価格は、攻撃者がスワップ取引を繰り返すにつれて下落を始めた。攻撃者はその後、割安となったテザーをフラッシュローンで引き出したUSDコインを交換。これを何度か繰り返した。

データサイトのゼリオン(Zerion)によると、スワップ取引を行った後、USDコインはイーサリアム(ETH)に変換された。イーサリアムはトークン化されたビットコイン(WBTCやrenBTCなど)に変えられ、そして最後にビットコイン(BTC)に変えられた。

興味深いことに、約250万ドル(約2億6000万円)がハーベスト・ファイナンスに送り返されてきた。開発者チームは、このお金は被害を受けたユーザーに分配されると述べた。コインゲッコーによると、FARMトークンの価格は少し回復し、24時間で24%安の126.82ドル(約1万3300円)となった。

DeFiプロジェクトに対するフラッシュローンを使った似たような攻撃は2020年初めにもあった。レンディング・プラットフォームのbZxは2月、DeFiプロジェクトとして初めてフラッシュローンを悪用した攻撃を受けている。

翻訳:山口晶子
編集:増田隆幸、佐藤茂
画像:DeFi Pulse
原文:Harvest Finance: $24M Attack Triggers $570M ‘Bank Run’ in Latest DeFi Exploit
(編集部より:タイトルの金額を訂正して、記事を更新しました)

おすすめ記事: