Rainの脆弱性悪用でSolana(SOL)建てカード残高から50万859ドル流出

旧バージョンのSolanaコントラクトが標的に

暗号資産型ネオバンクのAviciおよびTriaにカード発行インフラを提供するRainは8月29日、監視システムが旧バージョンのSolanaコントラクトに存在する脆弱性を検出し、攻撃者がそれを悪用してユーザーのカード残高から50万859.22ドルを引き出していたことを明らかにした。同社の説明によれば、被害はレガシー版コントラクトが稼働し続けていた限られた数のプログラムにとどまり、同一レール上のその他のプログラムは一切影響を受けておらず、影響範囲の全体像を確定するため調査を直ちに開始したという。仕組みとしては、ユーザーがUSDCやUSDTなどのステーブルコインをカードの利用可能残高を管理する専用コントラクトに預け入れ、攻撃者は旧バージョンのまま放置されたコントラクトを狙い、そこに保持されていたカード残高を吸い上げた。TriaのXでの公式開示によれば、損失はSolana上でチャージされたUSDC・USDTのカード残高に限られ、ユーザーウォレット、先物、Earn、そしてEVM側のカード残高は無傷だった。Aviciも公式投稿で別途、被害者は1,685人に上ると確認したうえで、ユーザーが管理するSolanaおよびEVMウォレットはカード用コントラクトから分離(セグリゲーション)されており損害を受けなかったと説明している。オンチェーンの追跡データからは攻撃の順序が再現されており、侵入者はまずAviciの認証プログラムでSubmitSignaturesを呼び出し、次に担保管理プログラムでAddCollateralAdminを実行、最後にWithdrawCollateralAssetを通じて資金を引き出した。市場の反応は速かった。プロジェクトのアルトコインAVICIは24時間でおよそ49.4%下落し、歴史的安値圏となる約0.2175ドルまで値を下げた。売り圧力とFUDがテープ全体に広がるなか、過去最高値(ATH)から大きく崩れた水準で取引が続いている。Rainは、旧コントラクトで稼働する全プログラムのアップグレードをすでに完了し攻撃を止めたと述べたうえで、影響を受けた全ユーザーへの全額補償を約束しており、第三者のフォレンジック専門家を起用し技術的な事後分析(ポストモーテム)を公表する予定としている。

TriaのXでの公式開示https://x.com/useTria/status/2093433665258963450

韓国取引所のステーキング残高は4.6936兆ウォン規模に

一方、預金型商品は韓国の取引所市場の構造をも変えつつある。国会政策委員会に提出された資料によれば、共に民主党の朴民圭(パク・ミンギュ)議員が公表したデータで、ウォン建て取引の4大取引所であるUpbit、Bithumb、Coinone、Korbitが7月末時点で保有していたステーキング中の仮想資産は4.6936兆ウォンに達し、2026年を通じてユーザーへ支払われた報酬は月平均でおよそ104.2億ウォンとなった。ここでいうステーキングとは、イーサリアム(ETH)やSolana(SOL)などの資産をネットワークのコンセンサスメカニズムにロックしプロトコル報酬を得る預金型商品であり、DeFiプロトコル上で行う利回りファーミングとは区別される。総残高は年内で変動しており、1月末の5.0747兆ウォンから6月末には4.3288兆ウォンまで縮小した。利用者数の伸びはそれより速い。ステーキング口座は1月に100万を突破し、単月で35.95%増の1,048,547口座に達し、7月末には1,225,455口座となった。競争構造にも変化が起きた。1月にはBithumbのステーキング利用者が46万2,742人に達し、Upbitの32万1,965人を初めて上回った。7月末時点でもBithumbは48.37%のシェア(59万2,742口座)でUpbitの29.34%(35万9,516口座)をリードしている。ただし金額ベースではUpbitが51.78%(2.4305兆ウォン)とBithumbの43.41%(2.0374兆ウォン)を上回るが、この差は1年前のUpbitの68.00%という支配率に比べれば格段に狭まった。特筆すべきは、2025年1月以降Upbitでは解除(アンステーキング)が新規預入を毎月上回り続けている一方で、Bithumbの利用者層が急拡大している点だ。Upbitが扱う6銘柄の推定年間報酬率は現在2.01%から19.09%の範囲にある。Tiger Researchのユン・スンシク所長はこの傾向をリスクオフの行動として読み解く。市況が低迷するなか、ユーザーは売買よりも資産をロックして報酬を得る道を選んでいるという。韓国には警鐘となる前例もある。同種の預金型商品であるGopaxのGoPay貸付サービスは、提携先のGenesis Global CapitalがFTX破綻を受けて引き出しを凍結したため、2022年11月に事実上停止した。 市場をリアルタイムで追いたい読者は、Bybitで現物・先物価格をライブで確認できる。

利回り商品に内包されるカストディリスク

二つの出来事を並べると、同じ構造的リスクが正反対の側面から浮かび上がる。ユーザー資産をプールして利回りを生み出す商品は、いずれもカストディ(保管)リスクを集中させる。Rainのケースは一次情報レベルで検証可能だ。公式声明は1,685人の被影響ユーザー全員への全額補償を明言しており、SubmitSignatures、AddCollateralAdmin、WithdrawCollateralAssetというオンチェーンの一連の呼び出し記録が、50万859.22ドルがどのように引き出されたかを正確に物語っている。これは6月にSolanaで発生したRaydiumのインシデントとも呼応する。非推奨(deprecated)となった流動性プールから約134万ドルが引き出された事案であり、いずれも旧プログラムが稼働し続けたことが攻撃面として残った点で共通する。COINOTAGの読みとしては、見出しではなく補償の実行タイミングとRainのポストモーテムの内容こそが、今回が運用プロセスの失敗なのか設計上の欠陥なのかを判定する材料になる。韓国の預金型商品ユーザーについては、現在の報酬率ではなくGopaxの前例をプラットフォームリスクの基準ケースとして置くべきだと弊誌は考える。