Predict.fun、29ウォレット流出の40万USDT全額返還を公約

直接損失を対象にした補償の公約

予測市場プラットフォームのPredict.funは、ウォレットインシデントで直接損失を被った利用者に対する全額補償を公約した。損害規模は約40万USDT。USDTはTether社が発行するドル連動型のステーブルコインだ。10月27日火曜日に公表した声明によると、一部の利用者ウォレットで不正な送金が発生し、返還の対象はこの一件で直接資金を失った利用者全員に及ぶ。ただし公表された数字は損害の規模を示すものであり、払い戻しが完了したとの発表ではない。同社はこの公約を「約束」の位置づけとしており、支払い済みの事実とは区別している。対象となるのは直接損失を受けた利用者に限られる。

損失は二度の波に分かれて積み重なった。最初の送金は10月22日木曜日、次の波は10月27日火曜日で、合計29の利用者ウォレットから資金が持ち去られた。USDTの価格は一貫してドルペッグを維持しており、この一件は市場の動きではなくカストディと鍵管理の失敗だ。Predict.funの暫定調査では、外部ベンダーがホストするAPIドキュメントサイトの一時的な侵害が侵入経路の可能性を指摘されており、同社は調査の完了まで当該サイトをオフラインにした。ただし文書サイト侵害の疑いはあくまで初期判断で、同サイトから不正なウォレット送金に至る経路は未確認だと強調している。影響を受けた利用者数、返還完了のスケジュール、被害ウォレット間に共通するインフラや提供業者の有無は未開示だ。同社は調査終了後に、事象の経緯と再発防止策を整理した検証報告書を公表する意向を示している。

Tornado Cashを経由するオンチェーンの痕跡

ブロックチェーン分析企業のBitqueryがBNB Chainの取引記録を検証したところ、流出は二つの波で合計397,708 USDTに達し、Predict.funが公表した約40万USDTにほぼ一致した。最初の波は10月22日で、6ウォレットから125,029 USDTが流出。第二波は10月27日時点の計測で272,679 USDTに達した。この第二波の中で、約262,000 USDTが19ウォレットからわずか34分の間に流出していたことが記録されており、この集中ぶりは手動の出金ではなくスクリプトによる一括実行を示すものだ。合計29という流出ウォレット数は資金が離れたアドレスを数えたもので、被害利用者数ではない。一人の利用者が複数アドレスを運用している可能性があるためだ。

最も重要な証拠は署名にある。Bitqueryが33件の不正送金を分析したところ、それぞれが流出先ウォレット自身のオーナーキーで署名されていた。取引のいずれもPredict.funのマーケットやトレーディングのコントラクトを呼び出していない。各秘密鍵による署名は、送金の時点で取引当事者が当該ウォレットを支配していたことを裏付けるが、オンチェーンの記録だけでは鍵を誰が保持していたのか、どう入手したのかは分からない。資金追跡では一部の流出金がBNB Chainからイーサリアムネットワークへ移った後、資金の出所を分隠化する目的で作られた暗号ミキサーのTornado Cashに入った経路が確認されており、調査報告にはミキサーへの166.8 ETHの入金が記録されている。資金流出入だけで送金者を特定することはできない。Predict.funが声明を出してから約1時間後、別のアカウントからさらに4,900 USDTが流出し、同社はこの送金も総計に含めた。同様の特徴を持つ流出事件は今年業界全体で繰り返されており、セキュリティ研究者が指摘した485万USDTのイーサリアム流出や、CoinDCXで発生した退役済みウォレットからの1,599万USDTの喪失などが挙げられる。

オーナーキー署名が示すプロトコル外の犯行

33件の送金がそれぞれ個別のオーナーキーで署名され、5日間に分散し、プラットフォームのコントラクトには一切触れていない。この事実はプロトコルレベルのエクスプロイトよりも、利用者の鍵素材が侵害された可能性を示唆する。時間差のある発生タイミングは、単一のシードフレーズ漏洩と矛盾する。本来なら一つのシードフレーズが漏れれば全ウォレットが同時に曝露するはずだからだ。鍵ごとの侵害、たとえばフィッシングによる手法の方が記録と整合する。こうした手口は、USDTを狙ったフィッシング収集用の偽サイトとしてセキュリティ研究者がすでに記録済みのパターンでもある。これまでの対応で変わった点は限定的だ。疑わしい文書サイトがオフラインになり、返還公約が記録に残った。一方で未解決の部分は大きい。確定した攻撃ベクトル、29個の個別鍵がどう入手されたのかの説明、そして完了した支払いの実績がすべて不明のままだ。Predict.funの検証報告書はいまだ意図の段階であり、公表された成果物ではない。