Balancerで1.2億ドル以上が盗まれた場合、あなたは何をすべきですか？

Chainfeeds ガイド：

現在、総被害額は1.2864億ドルに達しており、攻撃は継続中です。

出典：

Foresight News

見解：

Foresight News：11月3日午後、老舗DeFiプロトコルのBalancerが重大なセキュリティ脆弱性攻撃を受けました。攻撃者はプロトコルのコアスマートコントラクトを操作し、わずか数時間のうちに複数の流動性プールから1.1億ドル超の暗号資産を移動させ、Balancerの金庫から直接コントロールウォレットへ資金を送金しました。DeBankのデータによると、Ethereumエコシステムでの被害額は9985万ドル、Arbitrumチェーンでは795万ドル、Baseでは394万ドル、Sonicは約340万ドル、Optimismチェーンは156万ドルに上ります。SlowMistの追跡結果によると、総被害額はさらに増加し1.2864億ドルとなり、Berachainエコシステムの1286万ドルが追加されました。この影響で、BALの価格は0.9ドル付近まで下落し、24時間で8％以上の下落となりました。事件発生後、Berachain公式はHONEYのミント及びBEXプールと金庫機能を停止し、バリデータノードのネットワーク運用を中止するよう調整、コアチームが緊急ハードフォークを実施しBalancer V2関連の脆弱性を修正しました。このニュースが伝わると、3年間動きのなかったクジラアドレス0x0090が即座にBalancerから資金を引き揚げ、パニック感情が急速に拡大したことを示しました。この事件は、Balancer V2のアクセスコントロールに根本的な欠陥があることを明らかにしただけでなく、クロスチェーン展開アーキテクチャがリスクを拡大する導火線となったことも示しています。Ethereum、Base、Polygon、Sonicなど複数のネットワークが関与しています。記事執筆時点でも攻撃は続いており、セキュリティチームは関連アドレスの凍結を試みています。Balancerは2020年に設立され、Balancer Labsが開発した初期DeFiエコシステムのコアAMM（自動マーケットメイカー）プロトコルの一つで、カスタマイズ可能なマルチアセット流動性プール設計を特徴としています。Uniswapなどの単一資産対比メカニズムとは異なり、Balancerはユーザーが複数資産のウェイト組み合わせを設定でき、資本効率を高めます。2021年にリリースされたV2バージョンでは、Boosted PoolsとVaultシステムを導入し、プール内の遊休資金を収益チャネルに誘導し、スリッページを減らし効率を向上させることを目指しました。しかし、この複雑なアーキテクチャはアクセスコントロールや外部依存のリスクも増加させました。分析によると、今回の攻撃の根本原因はVaultコントラクトのアクセスコントロールの失効にあります。攻撃者はフラッシュローンメカニズムを利用し、権限を偽造してBoosted Poolsから資産を引き出し、認可チェックを回避して資金を外部アドレス0xAa760D53541d8390074c61DEFeaba314675b8e3fに直接転送しました。オンチェーンデータ（トランザクションハッシュ0xd155207261712c35fa3d472ed1e51bfcd816e616dd4f517fa5959836f5b48569）によると、攻撃は数分で複数回の送金を完了し、WETH、osETH、wstETH、frxETH、rsETH、rETHなどの主要なETHデリバティブが関与しています。この脆弱性の利用方法は2022年のNomad Bridge事件と類似しており、いずれもアクセスコントロールロジックが回避されたことによるものです。Balancerのクロスチェーンアーキテクチャは影響範囲を広げ、損失規模を拡大させました。 今回の事件は孤立したものではなく、Balancerの長期的なセキュリティリスクが集中して爆発したものです。2021年のV2リリース以来、同プロトコルは複数回の監査、ファジングテスト、形式検証を経てきましたが、それでも脆弱性が頻繁に露呈しています。2021年6月にはスマートコントラクトの問題で50万ドルの損失、2023年8月にはDNSハイジャックで27万ドルの損失、2025年10月には「rate providers」操作に関連する小規模な事件も発生しています。度重なる事故は、Balancerがアクセスコントロールや外部依存において構造的に脆弱であることを示しています。今回の攻撃は、DeFiプロトコルの老朽化リスクを再認識させるものであり、長年運用され頻繁にフォークされてきたコードベースは、複雑なマルチチェーン環境下でハッカーの標的になりやすいことを示しています。Flashbots戦略ディレクター兼LidoアドバイザーのHasuは、「Balancer V2は2021年のリリース以来、最も頻繁にフォークされたスマートコントラクトの一つです。このようなコアプロトコルが攻撃されるたびに、DeFi業界全体の採用プロセスが6～12ヶ月後退する」と指摘しています。現在、BalancerチームはV2プールに脆弱性があることを確認しており、セキュリティ企業と共同で事件の調査を進めています。