BNB ChainのPredict.fun、約30万ドルをTornado Cashへ流出か

Predict.fun、Relay経由で約30万ドルが流出

BNB Chain上の予測市場Predict.funから、27日火曜日に約30万ドルとみられる不審な資金流出が発生した。公式の発表が行われる前に、流出資金の一部はRelayのクロスチェーンブリッジを経由し、仮想通貨ミキサーのTornado Cashにまで到達していた。オンチェーン監視アカウントOnchain Lensは、10月27日11時50分(UTC、台北時間19時50分)に警戒を呼びかけ、プロトコルが「悪用された可能性が高い」と述べた。オンチェーン上の追跡が示したのは単一路線だ。Kernelとタグ付けされた複数のソースコントラクト、資金を受け取ったRelayのウォレット群、そして直後に介入したRelay.link上のRelayDepositコントラクトという順序である。ブリッジ経由のホップで資金はイーサリアム側に移り、そこでTornado Cashに到達して足取りが途絶える。流出の大半は、プラットフォームの賭けに使われるドル連動型ステーブルコインUSDT(BNB Smart Chain上)だった。警戒投稿と添付のチャートは不審な総額を約30万ドルとし、さらに追加のアドレスを追跡中だと述べた。流れの順序が特徴的で、資金はブリッジに直接送られず、中継ウォレットを一度経由していた。この工程は、悪用されたコントラクトと資金洗浄の区間を切り離す役割を果たす。

Predict.funは政治、スポーツ、仮想通貨市場の結果にUSDTで賭ける仕組みを運用しており、アプリ内に保管された残高はプロトコルの金庫と同じく損失の影響を受ける位置にある。ミキサーへの到達は返還の見込みを大きく下げる。資金がTornado Cashに届けば、アドレス単位の追跡は確率的なクラスタリング分析に切り替わるためだ。今回の警戒はあくまで監視上の判断であり、確定した結論ではない。この区別は火曜日を通じて維持された。これまでのところ、当該イベントとBNBの価格の動きを結びつける報告は存在しない。Onchain Lensは監査企業ではなく監視アカウントであり、その数値はアドレス確認の進行に応じて変わり得る暫定的な合計値だ。

被害者19人と105ETHを確認

被害者側の情報も同じ経路を指し示している。dethectiveと名乗るユーザーは約5,000ドルの損失を報告し、資金を受け取ったアドレス0x8b001D7378DBc19C1c62E39c0fC9FFAD84182fBaを公開した。この流れは、最初の警戒が示した「Relayを経由したのちにブリッジ」というパターンと一致する。オンチェーン観察者のNaevenによる別の集計では、Predict.funに紐づく少なくとも19人の被害者を確認した。合計損失は約105ETH(約26万ドル)に上り、こちらもイーサリアムへブリッジされたのちTornado Cashに送られたという。同氏は、まだ残高を保有する利用者に直ちに資金を引き出すよう呼びかけた。観察者の数値が監視側の推計を下回る理由は単純で、名前の判明しているユーザーに紐づくアドレスのみを数えているためだ。監視側は検知された全コントラクトを追跡している。コミュニティの投稿には、より鋭い故障様態を示す記述もある。署名用ウォレットは無傷のまま、アプリ内ウォレットの残高だけが空になったという。投稿の中には、組み込みウォレット基盤を提供するPrivyの名を挙げるものもあったが、この帰属は未検証だ。Predict.funは、Binanceでリサーチリードを務めた経歴を持つDingalingが創業し、YZi Labsが支援している。賭けが成立している間、プラットフォームに担保として置かれた資金は、Venusなどのレンディングプロトコルを通じて利回りを得ることもできる。火曜日午後の時点で、公式アカウント@predictdotfunは声明も、障害のお知らせも、補償への言及も投稿していない。PeckShield、SlowMist、CertiKなどのセキュリティ企業による独立した確認も出ておらず、プラットフォームのマーケットページは閲覧可能なままだった。同プラットフォームが属するBNB Chainエコシステム自体は拡大路線にあり、200ミリ秒ブロックを目指すL1仕様から、515,544 BNBを保有する金庫型商品まで展開している。

事後検証のない未解決の侵害

二つの集計、約30万ドルとETH換算で約26万ドルは、別々の事件ではなく一つの資金洗浄ルートに収束しており、流出の背後には単一の侵害がある可能性を強めている。署名用ウォレットが無傷のままアプリ内残高だけが空になったという報告は、決済コントラクトよりも組み込みウォレット層内の鍵の取り扱いを指し示すが、これを確定できるのは運営チームだけだ。侵害経路自体は未解明のままである。事後検証は存在せず、公式アカウントは沈黙し、一時停止の発表もなく、ミキサーへの流出は監視側が追跡した分以上には報告されていない。残高を残す利用者は、待機ではなく自己管理への移行を急ぐべきだ。BNB Smart ChainをMetaMaskに接続する、自分が管理するHDウォレットに保管する、古い承認を取り消す、基本的なDYORの確認を行う。こうした対応を公式発表の代わりに先に講じたい。