Name.com経由のハイジャックで12のDeFiサイトから13万8,000ドル流出

12プロジェクト、共通するのは1社のレジストラ

12のDeFiプロジェクトの公式サイトが相次いで乗っ取られ、利用者を襲う道具へと転用された。オンチェーンの追跡がこれまでに確認した損失は約13万8,000ドルに達する。被害サイトに共通するのは、ドメインをいずれもName.com経由で登録していた点だ。単一のレジストラに12プロジェクトが集中していたことが、個別のドメイン事故ではなく一連の攻撃キャンペーンとして同時多発させた背景にある。セキュリティ企業のBlockaidが侵害を特定したのは、Flap、Kintsu、Pickle Finance、Origami Financeの4社で、これは被害12件の一部にすぎない。攻撃者は偽サイトを新規に立ち上げるのではなく、正規サイトに悪意あるコードを埋め込んだ。そのためウォレットを接続した利用者は、普段どおりのインターフェースをそのまま目にすることになる。だが実際に署名させられていたのは、Step Drainerと呼ばれるドレイナー型ツールが生成した資産移転の承認トランザクションで、利用者が資金の移動を許可した瞬間に資産が引き抜かれる仕組みだ。侵入は10月30日(金)夜に始まった。FlapはDNSハイジャック、つまりプロジェクトのサーバーに触れずに通信の行き先を書き換えるドメインレコードの乗っ取りを公表している。ここまでが確認済みの記録で、この先は原因の特定が終わっていない。被害12サイトは共通のレジストラの上で、それぞれ異なるDNSサービスを運用していたため、侵入起点はName.com側の内部システムか、クラウドプラットフォームのVercelのような第三者事業者かのいずれかの可能性が残る。どちらもまだ確定していない。KintsuとOrigami Financeの2社はVercelのインフラを疑う声明を出しているが、これは被害当事者による主張であり、確立された結論ではない。13万8,000ドルという集計は、Ethereum、BNB Chain、Monad、Robinhood Chain上の資金フローを対象としている。SolanaとAptosネットワーク上の損失はこの数字に含まれておらず、最終的な被害額が確定しない理由はここにある。Pickle FinanceとFlapは、現時点で公表された開示の中で詳細な事後声明を出していない。一方、被害を受けた各プロジェクトは、オンチェーンのスマートコントラクトは一切侵害されておらず、窃取はすべてフロントエンドの署名を通じて実行されたことを明言している。

ドレイナー経済と資金の流れ

運用上のタイムラインは、このキャンペーンがどれほど高速に動き、同様に高速で封じ込められたかを示している。10月31日の午前8時32分(現地時間)、被害ドメインのうち10件が停止処分され、悪意あるページへの流入が遮断された。10件すべてがその日のうち、午前中遅くには復旧している。LevelBlue SpiderLabsの調査は、この攻撃の商業的な裏側を描き出す。Step Drainerの完全なソースコードは約750ドルで売買され、盗んだ資金の20%をコミッションとして送金する変種は150ドルで取引されていたという。この価格帯なら低スキルの攻撃者でも手が届く。12の無関係なプロジェクトが一度に狙われた構図と整合する点だ。奪われた資金もその場にとどまらなかった。オンチェーンの記録では、被害額は3つのウォレットに集約されており、Ethereum、BNB Chain、Monad、Robinhood Chainからの資金が15%、55%、30%の比率で振り分けられた。13万8,000ドルの追跡は、まさにこれらのウォレットを辿ったものだ。名前が判明している被害先のFlap、Kintsu、Pickle Finance、Origami Financeはいずれも大手取引所ではなく、アルトコイン系エコシステムの小規模プロトコルだ。小売りのウォレット接続を狙うドレイナー攻撃に合致する被害者像である。2チームが非難するVercelは各プロジェクトのフロントエンドをホストしており、ここが侵害されれば訪問者全員が晒されることになる。Name.comは一部の被害チームに対し、原因は自社システムではなく第三者にあると説明したと伝えられる。KintsuとOrigamiによるVercel非難とレジストラ側の責任回避が並立し、2つの失敗ポイントがどちらも未裁定のまま残されている。Origami Financeは、VercelとName.comが根本原因の分析を完了するまで、資産保管サービスの停止を継続すると表明した。ドメインとホストを結び付けるDNSディレクトリはレジストラのアカウント権限で制御されており、この中央集権的な管理を事象の射程から外すのが、ENSドメイン名に代表されるオンチェーン型のブロックチェーンドメインの存在意義だ。被害を受けた利用者数は公表されておらず、回復した資金の報告もない。

Aptosの損失はまだ計上されていない

確認済みの13万8,000ドルは下限であり、総額ではない。この追跡はSolana上と、レイヤー1ブロックチェーンであるAptos上の損失を除外しているため、両ネットワークの分が計上されれば最終的な被害額はこれより高くなる。Aptosエコシステムにとって今回の露出は構造的なものだ。攻撃対象はフロントエンドで、オンチェーンのコントラクトは無傷に保たれた。損害の上限はプロトコルの資金ではなく、個々の利用者の残高にとどまる。未解決の問い、すなわちレジストラ側の落ち度かホスティング事業者側の落ち度かは、再発防止の道筋を直接決める。レジストラ側の原因ならName.comのアカウントセキュリティと移転管理の強化が焦点になり、Vercel側の原因ならデプロイパイプラインと、各チームが自前でホスティングを強化する必要に至る。悪意ある承認に署名してしまった利用者が取れる手段は限られ、フロントエンドでの署名による損失は、DeFi保険が通常補償しない類型でもある。このセキュリティ上の課題は、ネットワーク自体の開発の進捗とは別の話だ。Aptosはメインネットで暗号化メモリプールの展開を進め、トランザクションのプライバシーと引き換えに20ミリ秒のレイテンシーコストを受け入れた。確認されているのは、4チェーンを跨ぐ約13万8,000ドルの資金フローと、乗っ取られた12のフロントエンドだ。どの事業者が破られたのかはまだ確定しておらず、被害各プロジェクトが待っているのは累計の更新ではなく、その答えである。