1億2,800万ドルが盗まれ、27のフォークされたプロトコルが巻き込まれたBalancer事件は、DeFiに3つの重要な教訓を与えている。

著者: フランク、PANews

11月3日、DeFi界に突然の大きな穴が開きました。老舗DeFiプロトコルであるBalancerの金庫アドレスから、異常に多額の資金が流出したのです。その後数時間、業界全体がリアルタイムで惨事の展開を目撃しました。損失額は当初報告された7,000万ドルから1億1,660万ドルにまで膨れ上がり、最終的には驚異的な1億2,864万ドルに落ち着きました。

莫大な損失の背景には、Balancer V2 プロトコルに 27 もの「フォーク」があり、この長年の致命的な脆弱性によってもたらされるシステムリスクにも直面しているという事実があります。

Balancer V2がハッキングされ、1億2800万ドルが盗まれました。

11月3日、オンチェーンセキュリティ企業PyShieldは、Balancer V2の金庫で異常な送金が発生していることを確認しました。大量のラップドイーサリアム（WETH）と流動性ステーキングデリバティブ（wstETH、osETH）が新しいウォレットに送金されていました。

Balancerチームはオンチェーン攻撃を速やかに確認し、オンチェーン監視が継続された結果、最終的な推定被害額は1億2,800万ドルに達しました。Balancerチームは、攻撃はV2コンポーザブルステーブルプールに限定されたと述べています。新しいV3アーキテクチャやその他のV2プールタイプ（加重プールなど）は影響を受けませんでした。

11月4日時点で、Balancerチームは攻撃の具体的な理由をまだ明らかにしていません。しかし、複数のセキュリティ企業やオンチェーンアナリストの分析によると、攻撃の根本的な原因は「アクセス制御チェックの不備」にあるとのことです。

攻撃者は、V2プロトコルの「manageUserBalance」関数を呼び出すことで、悪意のあるコマンドをVaultに送信しました。このコマンドは、プロトコルの内部台帳を欺き、「プロトコルが多額の手数料を徴収した」と「この手数料の所有権は攻撃者にある」と認識させました。その後、攻撃者は正当な出金リクエストを発行し、多額の資産を自身のアカウントに移しました。

技術的な観点から見ると、この攻撃の成功は優れた技術力によるものではなく、攻撃者がプロトコルの論理的な脆弱性を巧みに悪用したことによるものです。一部のアナリストは、ハッカーが攻撃中にコンソールログを残したと考えています。これらのパターンに基づくと、ハッカーは大規模なAIモデルを用いてコードの作成とレビューを行い、人間の監査人が見逃した欠陥を発見した可能性が高いと考えられます。

27のフォークしたプロトコルが集中砲火に巻き込まれ、さまざまなブロックチェーンが緊急措置を発動した。

ハッカーの巧妙な攻撃方法と比べて、業界にとって本当に残念なのは、Balancer V2 が 4 つの異なるセキュリティ企業 (OpenZeppelin、Trail of Bits、Certora、ABDK) によって合計 11 回監査されていたにもかかわらず、この脆弱性を発見できなかったことです。

皮肉なことに、悪用された特定のコンポーネントである「Composable Stable Pool」は、2022 年 9 月に Certora と Trail of Bits によって監査されていました。

長年オンライン化され、市場でテストされてきたと思われるDeFiプロトコルであるBalancer V2は、27もの「フォークプロトコル」を生み出しました。これらのプロトコルはすべて、Balancer V2からこの論理的な脆弱性を継承しています。ハッカーにとって、この脆弱性はマスターキーのようなもので、欠陥のあるコードを持つこれらの「フォークプロトコル」の金庫をいつでも開けることができるのです。

実際、このハッキング攻撃は複数のブロックチェーンに広がっています。EthereumのBalancer V2（メインプロトコル）が最も深刻な被害を受け、推定損失額は1億ドルに達しました。次にBerachainのBEXプロトコルが続き、潜在的な損失額は1,286万ドルに達しました。さらに、Arbitrum、Base、Sonicを含む他の7つのパブリックブロックチェーンのプロトコルもこの攻撃の影響を受けています。

この予期せぬ災難に直面し、業界はジレンマに陥っています。「コードは法」という分散型原理主義に固執し、ユーザーの資金が盗まれるのを傍観すべきでしょうか？それとも、ユーザーを守るために中央集権的な介入策を講じるべきでしょうか？

最も大きな打撃を受けたBerachainは、最も過激かつ物議を醸す決断を下しました。それは、バリデータノードを調整してネットワーク全体を停止するというものでした。Berachainはトランザクションをロールバックすることで、BEX取引所でリスクにさらされていた1,200万ドル以上の資産を救済しました。

もちろん、これはコミュニティ内で論争を巻き起こし、一部の人々は「これで『チェーン』のファイナリティとセキュリティが完全に損なわれるのではないだろうか？もはやパブリックブロックチェーンというよりプライベートチェーンに近いのではないか？」と疑問を呈しました。これに対し、Berachainの匿名の共同創設者であるSmokey the Bera氏は、「あなたの懸念はもっともだと思いますが、異常事態には異常な措置が必要だと考えています。過去にはSuiやHyperliquidのようなケースで同様のアプローチが見られました」と返答しました。

資金プールがひどく損なわれることによる悪影響は、いわゆる「分散化」の信念をはるかに上回る可能性があるため、コミュニティのメンバーの大半はこの決定を支持している。

Sonic Chainは「オンチェーンアカウント凍結メカニズム」を起動し、ネットワークを停止させることなく攻撃者のウォレットと340万ドルをロックしました。Polygonのバリデータノードは、攻撃者のアドレスから発信されたトランザクションを積極的に「検閲」し始めました。

複数の脆弱性インシデントが発生し、TVL（Total Value Limit）の削減により信頼の危機が引き起こされました。

Balancerの歴史は、本質的に複雑な論理的脆弱性との絶え間ない戦いの歴史です。Balancerはこれまで複数のハッカー攻撃を受けており、2020年から2025年の間に少なくとも5件の脆弱性インシデントが発生しました。これらの攻撃は、初期のフラッシュローン攻撃から、より複雑なV2拡張プールの脆弱性まで多岐にわたります。

しかし、過去の事例では、損失額は概ね数十万米ドルから200万米ドル程度でした。Balancerにとって、これらの過去の攻撃は脆弱性を修正する機会のようなものでした。しかし、推定損失額が1億米ドルを超える今回の災害は、Balancerに対する市場の信頼と信用を直接的に揺るがしました。

Defillamaのデータによると、攻撃後、BalancerのTVL（総資産価値）は7億7,600万ドルから3億4,500万ドルへと急落し、半分以上減少しました。Balancer V2のTVLは2億3,000万ドルもの大幅な減少となり、そのフォークもプールから資金を引き出されました。具体的には、Gaming DEXのTVLは1日で87%、Beets DEXのTVLは48%減少しました。

リドはまた、リド契約は影響を受けなかったものの、慎重を期して影響を受けていないバランサーのポジションを撤回したと述べた。

実際、Gaming DEX などのフォークされたプロトコルは後に、実際には影響を受けておらず、資金のほとんどは単にセキュリティ上の理由で引き出されたと述べています。

DeFiプロトコルにとって、特に度重なる攻撃の歴史を考えると、信頼は金よりも重要です。公式情報によると、11月4日現在、StakeWise DAOはマルチシグネチャプロトコルのコントラクトコールを通じてハッカーから2,000万ドル以上の損失を回収しました。これにより、今回の攻撃による損失総額は9,800万ドルに達しました。一方、ハッカーの資産の移転は現在も進行中で、すでに半分以上がETHに変換されています。

この1億2,800万ドルの攻撃は、DeFiの成長において高くついたが必要な教訓となり、3つの鋭い疑問も提起した。

1. 「ゴールドスタンダード」による 11 回の監査で 2 年間潜んでいた致命的な欠陥を発見できなかった場合、「監査」の意味は何でしょうか。

2. 「コード伝染」が当たり前になり、基本プロトコルの脆弱性が 27 の派生プロトコルを瞬時に破壊できるようになったとき、DeFi のコンポーザビリティはイノベーションなのか、それとも呪いなのか?

3. 新興のパブリックブロックチェーンが「分散化」と「ユーザーの節約」の選択を迫られる中、「コードは法」という理想は「実用的な集中化」に取って代わられたのでしょうか？

将来、DeFiのセキュリティは、もはや監査の強化だけに頼るのではなく、攻撃対象領域を根本的に縮小する、よりシンプルで堅牢なプロトコル設計に重点が置かれるようになるかもしれません。今回の事件で信頼と資金を失ったユーザーにとって、この認識の代償は計り知れないほど大きいものとなるでしょう。