More Marketsの融資準備金から930万ドル流出、Wrapped Flow(WFLOW)が標的に

Flow EVMの貸付プロトコルMore Marketsから約1,550万WFLOW(約930万ドル)が流出。AnkrのLSTとE-modeが悪用され、Blockaidがオンチェーン追跡中。調査は継続中。

一晩で1,550万WFLOWが引き抜かれる

Flow EVM上の分散型貸借市場More Marketsにおいて、2026年8月31日未明、攻撃者が同プロトコルの融資準備金から約930万ドルを引き抜いた。オンチェーン監視を手掛けるWeb3セキュリティ企業Blockaidがいち早くインシデントを検知しており、同社の推計では、攻撃者はmFlowWFLOWリザーブから約1,550万のWrapped Flow(WFLOW)トークンを持ち去ったとみられる。More MarketsはMore Labsが開発するノンカストディアル型の貸付市場で、預かり資産をプールして運用するUniswap型の流動性モデルとは異なり、貸し手と借り手を直接マッチングさせる仕組みを採っている。被害額についてプロトコル側からの公式確認はまだ出ていない。チームは同日朝の投稿で、攻撃の主張内容を検証中であると表明し、調査の結論が出次第結果を共有するとしている。本稿執筆時点で完全なインシデントレポートは公表されておらず、Blockaidも原因をAnkr側と断定するか、Flowブロックチェーン自体に求めるかには踏み込んでいない。

準備金はどうやって引き抜かれたのか

Blockaidがオンチェーンで再構成した攻撃の流れは、大きく二段構えだった。攻撃者はまずAnkr発行の液体ステーキングトークンankrFLOWを担保として供給し、その上でMore MarketsのE-mode設定を利用してmFlowWFLOWリザーブから必要額を超える借入を行ったとみられる。E-mode(Aave V3の用語では効率化モード)は、価格が連動して動くことが前提の資産ペアに対して借入力を引き上げる設計だ。ステーキング証明書と原資産、あるいはステーブルコインペアのように相関が極めて高い組み合わせを想定して調整された機能である。同社はエクスプロイト取引、攻撃者がデプロイしたコントラクト、その後の11件の送金を詳細なポストとしてX上で公開し、攻撃者アドレス、補助ウォレット、被害を受けたプールを明示した。一方、オンチェーンアナリストのSpronkyは、この一連の流れは単純な「AnkrのLST+E-mode」のバグではなく、プロトコル横断的な流動性抽出だった可能性があると別の読み解きを示しており、根因が正式に確定するまではこの論点が影を落とす。

FLOWは8%下落し0.026ドル付近に

攻撃の発覚を受けて市場は素早く反応した。More Marketsが稼働するチェーンのネイティブトークンFlow(FLOW)は、24時間で約8%下落し、0.026ドル付近で取引されている。ただし、この下落は暗号資産市場全体の時価総額が約3%縮む中での動きでもあり、FLOW固有の売りだけが原因とは言えない。More Marketsにロックされた価値は約360万ドルまで減少した。同セッションの序盤、DefiLlamaはこのプロトコルを約560万ドルと表示しており、そのうち約341万ドルが活動中の貸出残高だった。絶対額としては小規模な標的であり、今回の損失がDeFi市場全体に波及する可能性は低いと見込まれる。それでも、リザーブが一度突かれると信頼がいかに素早く逃げていくか、撤退の速さがそれを雄弁に示している。不足分を預かり手が負担するのか、プロトコルの財源が穴埋めするのかは、現時点で未公開のままだ。

8月のハッキング損失は1億4,000万ドル規模に

本件は、プロトコルセキュリティにとって過酷な1か月の締めくくりとなった。DefiLlamaの集計では、8月のハッキングは37件、合計損失は約1億4,000万ドル(約1億3,970万ドル)に達し、2026年に入ってから盗難額で3番目に大きな月となった。ただし、7月の2億5,400万ドルには遠く及ばない。損失の大半を貸付プロトコルが占めている。週末だけでも被害が続いた。Cronosは8月30日、自チェーン最大の貸付市場Tectonicでのエクスプロイトを検知し、ブロックチェーンを一時停止した。被害額は約7,500万ドルと報告されている。貸付プロトコルMoonwellは先週、主要マーケットを狙った価格操縦攻撃で推計870万ドルを失った。9か月で3回目のセキュリティインシデントである。Ethereum系貸付プロトコルのAjnaもその数日前、清算アカウントの操縦によって約77万5,000ドルを喪失していた。市場をリアルタイムで追いたい読者は、Binanceで現物・先物価格をライブで確認できる。

オンチェーンの痕跡は鮮明、調査は継続中

今回の事案で特筆すべきは、オンチェーン上の証拠が異例なまでに完全な形で残っている点だ。Blockaidのトレースはエクスプロイト取引、デプロイ済みコントラクト、その後の全中継を特定しており、引き抜かれた約1,550万WFLOW(当時のレートで約930万ドル相当)はFlow EVM上で誰でも直接検証できる。攻撃者ウォレットはいわゆるクジラ規模のポジションを抱えた状態で放置されている。未解決なのは事後検証の部分だ。More Marketsの公式声明は調査結果の公表を約束しており、Blockaidが指摘したE-modeと液体ステーキング証明書の組み合わせは、今月の貸付プロトコル被害を支配してきた「相関担保を利用した過剰借入」パターンと一致する。チームが根因と対策を正式に確認するまでの間、930万ドルという数字はあくまで推計値であり、確定した損失ではない点には留意が必要だ。

公式声明https://x.com/MORE_DeFi/status/2094337707753222313