Summer.fi、進行中のDeFiエクスプロイトで約600万ドル流出——SUMRトークンは約5%下落

仮想通貨ニュース

オンチェーン型ボールト「Lazy Summer」プロトコルのフロントエンドであるSummer.fiが、進行中のエクスプロイトによって約600万ドルを流出させた。これは7月に記録された2件目のDeFi侵害となる。セキュリティ監視によって月曜午前に検知された本件では、攻撃者が管理するコントラクトを経由して資金が移動し、オンチェーンデータは初期段階の損失を600万ドル規模と示している。この仕組みはユーザーの預金を複数のイールド運用先へ自動的に振り分ける設計で、流出した資金は相対的に低リスクとされるUSDCボールトに置かれていた。当社が確認した検知時点では攻撃はなお継続中であり、被害総額は確定していない。Aave関連の預金経路をたどるフォレンジック調査が進むにつれ、金額がさらに膨らむ余地は残されている。

最大の被害を受けたのはLazyVault_LowerRisk_USDCボールトだ。保守的な商品として位置づけられ、外部運用会社によるリスク管理が行われていた。オンチェーンデータによれば、このボールトの表示年利(APY)はインシデントの最中に一時約208万%まで急騰した。これは実際の利回りではなく、内部会計の歪みを示す典型的な兆候である。APYとは預金者に提示される年換算利回りで、ボールトの残高から算出される。したがって突如としてこうした非現実的な数値が表示される場合、通常は準備金の計算が改ざんされたことを意味する。調査担当者はこの数値を、エクスプロイトがボールトの「シェア対資産比率」——低リスクのアルトコインボールトが各参加者の預金を正確に価格付けするために依拠する中核メカニズム——を破壊した証左として指摘した。

調査側は一連のオンチェーン識別子を公開した。0x7BF716で始まるエクスプロイターのアドレス、専用のエクスプロイトコントラクト、そして影響を受けた3つのLazy Summerコントラクトである。オンチェーンデータによると、侵害されたボールトにおける現在の最大保有者は約860万USDCを預け入れており、同プロトコルのエコシステムに関連する主体とつながりがあるとみられる。攻撃者アドレスを早期に公開することは標準的な初動対応であり、資金がミキサーや0xプロトコルのスワップ経路を通じて資金洗浄される前に、取引所や分析機関がウォレットをブラックリスト登録できるようにする狙いがある。開示されたコントラクト群はホワイトハッカーに凍結すべき対象範囲を正確に示すが、すでに移動した資金の回収は現段階では確認されていない。

プロトコルのネイティブトークンSUMRは、この侵害に鋭く反応した。直近の市場データでは、SUMRは約0.00193ドルで取引され、24時間で約5.3%下落した。同じ日に1%超上昇した市場全体とは対照的な動きである。この相対的な劣後は、マクロ要因ではなくプロトコル固有の孤立したリスクを鮮明に映し出す。市場全体が上昇するなかで単一トークンが下落する場合、その売りは特異的なものだと読める。小型のガバナンストークンにおける薄い流動性はこうした値動きを増幅させやすく、ペッグ維持を目的に設計されたアルゴリズム型ステーブルコインとは異なり、SUMRにはエクスプロイトの見出しが流れた後の信認低下による下落を食い止める仕組みが備わっていない。

Summer.fiは旧称Oasis.appとして知られ、Lazy Summerプロトコルの利用者向けゲートウェイとして機能している。同プロトコルはAaveやMorphoといったDeFiのイールド供給源の間で預金を自動的に移動させるオンチェーン型ボールトシステムだ。この自動振り分け設計は資本を少数の戦略コントラクトに集約するため、資本効率を高める一方で、単一ボールトが侵害された際の被害範囲も拡大させる。Oasis.appからのブランド変更は、同プラットフォームが自動イールドアグリゲーションへ軸足を移した後に行われ、USDCやその他資産の「手放し型」運用先としての位置づけを明確にした。今回の侵害は、この利便性を優先したアーキテクチャが、8桁規模の預金を抱えるプロトコルに付きまとう敵対的な圧力に耐えられるかどうかを問うている。

今回のSummer.fiのインシデントは、厳しい6月に続いて7月に記録された2件目の仮想通貨エクスプロイトとなる。オンチェーンデータによれば、先月は各プラットフォームが40件の別個のハッキングで合計約7,587万ドルを失い、そのうち期間中最大の単一損失はHumanity Protocolの侵害によるものだった。月あたり数十件のインシデント、うち複数が8桁規模に達するというこのペースは、スマートコントラクトのリスクが依然としてセクター最大の構造的な足かせであることを浮き彫りにする。集計されたハッキングデータは、Summer.fiの資金流出を例外ではなく一つのパターンの継続として位置づける。すなわち、コンポーザブルなコントラクトロジックの背後にプール預金を抱えるイールドルーティングおよびボールトプロトコルが、分散型金融において最も頻繁に標的とされる層であり続けているのだ。

これらの動きを総合すると、COINOTAGは、表面上の価格が安定しつつあってもDeFiのセキュリティサイクルが資本を流出させ続けている構図を読み取る。当社の集計市場データはその背景を示している。恐怖と貪欲指数は100点中24、すなわち「極度の恐怖」にあり、ビットコインドミナンスは69.3%を維持し、仮想通貨市場全体の時価総額は約1兆8,200億ドルに位置する。資本がビットコインへ退避する一方でアルトコインプロトコルがエクスプロイト損失を吸収するというこの組み合わせは、スマートコントラクトの失敗をほとんど許容しないリスク回避的な市場を示唆する。6月の7,587万ドルの損失に、新たなSummer.fiの600万ドル流出が積み重なった今、オンチェーン上の証拠は、今四半期のプロトコル存続を左右する決定変数がイールドではなくセキュリティであることを物語っている。