フラッシュローン攻撃、AvalancheのTranche VaultからUSDC約101万ドル流出

水増ししたシェア発行でVaultが引き出される

Avalancheネットワーク上のTranche Vaultから、フラッシュローンを利用した攻撃者がステーブルコインUSDC(USD Coin)約101万ドルを引き出した。米東部時間10月27日(火)夜の出来事で、セキュリティ企業Blockaidは同日午後9時7分(米東部時間)にX上で警報を発表し、その時点で被害額を約101万ドルとしつつ、攻撃は継続中であるとしている。資金の流出はおよそ2件のトランザクションで実行されており、誰でもオンチェーン上で直接確認できる足跡だ。警報の時点でBlockaidは完了した襲撃を後から再構成していたのではなく、進行中の活動をリアルタイムで読み取っており、提示した総額も確定値ではなく累計値であると明示している。フラッシュローンとは担保なしの借入で、1つのブロックチェーントランザクション内で借りて返済を完結させる必要があるため、呼び出し側は一瞬だけ巨大な資金力を得ながら、元本を失うリスクをほとんど負わない。今回、借入資金はトランシェシェアを実際の数より多い枚数で鋳造させ、そのシェアをプールに残っていた預かり資産と引き換えに償還した。Tranche Vaultは預かり資産をリスクとリターンの異なる階層型ポジションに分割する仕組みで、シェア数を水増しすればプールへの請求権もその分だけ膨らむ。被害額を見積もるうえで重要なのは、水増しされたシェアが利益になるのはプールに償還可能なUSDCが残っている場合だけであり、攻撃者はまさにその残高を換金したという点だ。Blockaidは当該VaultがValinor DigitalとFenceに「関連する」と説明し、両社のXアカウントをタグ付けしたが、運営者名の特定までは踏み込んでいない。記事執筆時点で両社は本件についてコメントしていない。USDCは米ドルへの連動を目的としたステーブルコインであり、今回の標的はUSDCの価格ではない。リスクは預託残額に完全に集中している。

被害額そのものと同じくらい重いのが、警報発出時点で未解決だった事柄だ。運営者は一時停止(ポーズ)が発動しているかどうか、盗まれたUSDCの回収が可能かどうか、そして何人の預託者が影響を受けたかを明かしていない。提示された101万ドルはあくまで累計であり、米東部時間の午後9時7分以降に攻撃が続いていれば数字は増え得る。執筆時点でValinor DigitalからもFenceからも声明、一時停止の告知、対応計画は出ておらず、預託者には引き出しが機能しているか、プールのどれほどが返って見込めるかを示す公式な説明が存在しない。2トランザクションという足跡は調査チームに限られた窓口を与える。資金がVaultコントラクトから出てしまえば、回収の成否は運営者の初動の速さと、フロントエンドに残る未処理の引き出しが握られている。累計値のままでは補償額の計算も立たない。各預託者の最終的な損失配分は、数字が動き止んで初めて確定するからだ。攻撃の構造は、Avalancheが以前にも見た型に沿っている。2023年2月、同じネットワーク上のステーブルコインスワップ基盤Platypusは、破綻した支払能力チェックにフラッシュローンを組み合わせた攻撃で約850万ドルを失った。今回の件も同一の形だ。資金の調達、シェア計算の水増し、預託資産への請求、同一トランザクション内での返済が、多くの預託者が動ける前にすべて完了していた。Tranche Vaultの件で鍵の窃取は主張されておらず、レビューチームの照準はシェア価格のロジックと支払能力の前提に向かう。Blockchain Security Auditsが扱う領域と同じ表面だ。USDC vaultsへの出所を判断しようとする保有者にとって、実務的な問いは運用面に集約される。累計が膨らむ前に運営者が一時停止し、情報開示し、シェアを再価格付けするかどうかである。

回収と一時停止、運営者名は依然未公表

ここで重みを持つのはオンチェーンの事実だ。流出を構成する2件のトランザクションは今日もエクスプローラーで追跡でき、宛先のウォレットアドレスを見れば資金が止まっているのか、ミキサーへ向かっているのかが分かる。回収の可能性を決めるのは、報道声明ではなくこの追跡結果だ。残る成否は3つの開示にかかっている。一時停止の確認、運営者名の特定、そして累計値に置き換わる最終額の確定である。破綻の位置も確認済みだ。問題は発行者側の基盤ではなくVault層にある。CircleのUSDC Matchは機関投資家の発行と償還を1時間ごとのオークションで突き合わせる仕組みだが、その機構には手つかずである。時期的に近い前例はInitiaのハッキングで、USDC準備金が63ドルまで減り、再開日は未定のまま残された。いずれかの開示が出るまで、101万ドルは最終額ではなく下限として読むべきだ。