Binanceハッキングを受けAave、16ネットワークの292準備資産を緊急凍結

16ネットワークにわたる緊急凍結

分散型融資プロトコルのAave(AAVE)は10月29日(木)、16のブロックチェーンネットワーク上で合計292の準備資産に対する新規入金と借入を停止した。きっかけは、Binanceのホットウォレットから19万5,000ETH超が流出したハッキング事件である。盗難トークンが分散型取引所で動き出したことを受け、Aaveの価格は約9%下落した。凍結はプロトコル全体に及び、イールドファーミング戦略に新たに入金される資金も遮断される形となった。Aaveは、預け入れられた資産を担保に借り手が資金を引き出せる分散型マネーマーケットであり、貸し手は供給した資産に対して利息を得る仕組みだ。

Aaveチームのインシデント報告によると、侵入は米東部時間10月29日15時24分に発生した。単一のトランザクションで、Ethereum上のBinanceホットウォレットから16万7,464ETHとその他63種類のトークンが未知のアドレスへ移動した。数分後、同一の攻撃者がBinanceの第二のウォレットからさらに2万8,006ETHを引き出し、Arbitrum、Optimism、Avalancheを経由する送金も確認された。流入は同17時04分以降も続き、Avalanche上で44万4,537AVAXが到着しており、攻撃が2時間以上にわたり開いたままだったことを示す。オンチェーン記録では、攻撃者が資金を20以上のウォレットアドレスに分散させ、分散型取引所でUniswap(UNI)、Chainlink(LINK)、AAVEをETHへ売却し始めた。直接売却されたトークンの下落が最も激しく、ChainlinkはAAVEと並んで9%下落した。ガーディアンのマルチシグウォレットは同16時42分から18時04分の間に停止処理を実行した。Aave V3では16ネットワーク上の175準備資産、V4では4ネットワーク上の117準備資産が停止対象となり、Ethereum、Arbitrum、Avalanche、Base、Optimism、Polygon、BNB Chainの市場が含まれる。許可制の実物資産市場「Horizon」は稼働を維持し、チームはコントラクト全体の全面停止は回避した。既存ユーザーは借入の返済と担保の引き出しが可能で、封鎖されているのは新規の供給と新規の借入のみである。

Binanceの対応と市場への波及

防御策が稼働する前の同日15時58分から16時01分、攻撃者に結びつくウォレットがEthereum Core上のAave V3へ6,000万ドル相当のUSDTを入金し、当時約4,460万ドル相当のラップ済みETH(WETH)1万9,762を借り出した。インシデント報告はこのポジションが過剰担保のまま維持されているとしており、5,990万ドルのUSDT担保が約4,380万ドルの債務を裏付けるため、流動性供給者に即時の支払不能リスクはなく、通常の清算ルールが適用されるとしている。Aave Labs、Tokenlogic、Certoraおよび提携セキュリティ企業は、最初の報告から10分以内に共同対応チームを編成した。単一準備資産の停止や、供給上限の引き下げを待つ5日間のコミュニティガバナンス投票を待つのではなく、ガーディアンは即座に全体凍結を選択し、攻撃者が盗難トークンを他のプールに隠すことを防いだ。

Binance側は、パートナーの協力を得て影響資産約30億ドルの凍結が完了したと発表した。出金停止後は不正流出が止まっており、入金には影響がなく、以前示した45時間以内の出金復旧見通しも維持されるとしている。同社はユーザー資産保護基金(SAFU)と自己資金ですべての損失を補填する方針を明言し、Xでの公式更新は本件を「高度な攻撃」と位置づけ、捜査当局と緊密に連携していると述べた。当初疑われたウイルス感染ノートパソコン以外に、追加の侵入経路が捜査で確認されたという。市場全体への打撃も大きく、ビットコインの価格は7万6,320ドルまで下落し、Ethereumは2,170ドルまで下げた。UNIは8%、ARBは6%の損失。AaveのステーブルコインGHOは、安定化モジュールを通じた460万ドルの償還が起きた後、一時0.997ドルまで下落した。プロトコルのエンジニアリングチームは、Binanceが追加の管理状況を公表し、攻撃者ウォレットの動きが安定するまで市場は凍結を維持すると説明しており、両条件が満たされた段階で段階的な制限解除を判断するとしている。

盗難資金は依然オンチェーンで追跡可能

オンチェーン記録は封じ込めの見立てを裏付ける。最大の3つの移動、16万7,464ETH、2万8,006ETH、44万4,537AVAXは、いずれも各ホームチェーン上で検証可能であり、攻撃者の借り入れポジションもAave自身の会計と突き合わせると、担保が債務を依然として上回っている。COINOTAGのライブモニタリングでは、直近24時間の現物価格は約5.5%の下落にとどまり、初動の売り圧より浅い損失となっている。凍結状態は、木曜夜にガーディアンの処理が完了して以降、一度も変化していない。取引所側の圧力は続く。Binanceは10月30日にAAVEを含む12の現物取引ペアを上場廃止する予定で、V4に新たに追加された外部キュレーションの貸出市場も停止の対象内にある。依然確定していないのはBinanceの最終損失額で、同社は捜査の進展に伴い後日公表するとしている。制限下のプールと継続して取引する場合は、各自の調査(DYOR)が不可欠だ。