Secured Finance、18万ドル規模の不正流出を受けてArbitrumの貸出市場を再開

3チェーンで貸出市場が再開

固定金利型のDeFi(分散型金融)プロトコルであるSecured Financeが、Ethereum、Arbitrum(ARB)、Filecoinの3チェーンで運用を停止していた貸出市場を再開させた。停止の発端は9月7日(月)の不正な資金流出だ。再開は10月16日(金)に発効し、チームは10月18日(日)付の事後検証報告書でこれを確認した。リードのMasa Kikuchi氏は同日、再開完了をXで発表し、停止期間に付き合ってくれたユーザーに感謝を述べた。

約5週間に及ぶ停止期間中、ユーザーは新規の注文発注、入金、出金ができず、満期処理と満期ポジションの自動ロールオーバーも先送りされた。これらの貸出市場を戦略に組み込むSF Yield Vaultも、フロントエンドで入出金を制限したままだった。報告書によれば、プロトコルの損失はSecured Finance Foundationが引き受け、開発チーム以外のユーザーで資金を失った者はいない。回復前の影響額は合計18万856ドル(約18万1,000ドル)で、プロトコル損失17万6,196ドルと、チームメンバーの個人口座が不適切に清算された際に移動した担保4,660ドルに分かれる。両数値は9月16日(水)時点で評価され、10月5日(月)に再確認されたもので、現在の未回収額ではない。ホワイトハットによる回復作業では31.5547 ETHが戻され、9月11日(金)の開示時点のETH価格で約7万8,000ドルに相当する。これはプロトコル損失の約44%に当たる。c0ffeebabe.ethとして知られるホワイトハットとブロックビルダーのUltra Soundが回収とブロック構築手数料の払い戻しを実行した。戻された資金は財団の準備金とともに、流動性プールを管理するTokenVaultコントラクトに充てられ、攻撃者の不正な残高とポジションが修正されたため、個別ウォレットへの返金は不要だった。

5月に指摘されていた欠陥

報告書によれば、根本原因は価格水準ごとに注文を管理するオーダーブックのデータ構造にある欠陥だった。注文の発注、部分的な約定、キャンセルが特定の順序で行われると、未約定の注文が約定済みと誤扱いされ、実際の取引を伴わないポジションや入金残高が生成された。攻撃者はこの捏造された債権を使ってTokenVaultから資産を引き出した。報告書は主な取引として14件の不正出金とチームメンバーの口座に対する1件の清算を挙げ、外部市況データを取り込む価格オラクルは操作されていないとしている。

文書で最も鋭く指摘されているのは経緯だ。5月下旬の内部セキュリティレビューがすでに欠陥を特定し、修正コードは6月までに作成・テスト済みだった。チームはそれをオーダーブックの運用に支障しない軽微な不整合と判断して流出リスクを認識せず、当時の方針ではコントラクト変更に本番適用前の外部監査が必須で、次回監査の予定もなかったため、修正コードは使われないまま放置された。チーム自身、この判断を誤りと認めている。修正コードは9月24日(木)に3チェーンへ展開されたが、コードだけでは捏造された状態を解消できないため、10月9日(金)に資本増強とポジション修正を実行し、一時的に停止を解除して先送りされていた満期処理と自動ロールオーバーを消化した。その検証で処理済み注文由来の古いレコードが見つかり、10月13日(火)に再停止。10月15日(木)のスキャンで8つのオーダーブックから17件の古いレコードを除去し、一時的な回復用機能と権限も削除して、翌々日の再開に道を開いた。Quantstampは攻撃の再現、修正の検証、資金追跡を支援したが、その範囲は原因と修正のみで、プロトコル全体を対象としていない。報告書は検知の空白も認めている。利用していた第三者の異常検知サービスが提供終了となり、代替が整わないうちに攻撃を受け、最初の不正出金から約28時間後、通常の管理プロセスが失敗してはじめて調査が始まったという。

監視は稼働、再監査は保留

オンチェーン記録とチームの事後検証報告書を突き合わせると、3チェーンでの対応はすでに運用面に反映されている。所定の条件を満たす清算と出金を監視する仕組みが稼働し、オーダーブックの検証テストが追加され、コード変更には実装者以外の少なくとも1人のレビューと承認が必須となった。財団は実質的にプロトコルのDeFi保険的なバックストップとして機能し、ホワイトハットによる44%の回復後に残った損失を、9月時点の評価額で引き受けた。ARBホルダーは、当サイトの9,265万ARBのロック解除に関する記事から供給面の文脈を、Arbitrumのテクニカル分析からチャート面の文脈を、さらに日足ピボット割れでの下落に関する過去記事を参照できる。対応でまだ果たされていないのはフルスコープの再監査だ。Quantstampの関与は根本原因と修正に限定され、10月の資金回復と再開はチーム自身が検証した。