暗号通貨分野において、DeFi（分散型金融）は長らく革新的なモデルとみなされ、従来の銀行を介さずにスマートコントラクトを通じて融資や取引サービスを提供しています。DeFiにおける主要な流動性プロトコルであるBalancerは、柔軟なプール設計を通じてユーザーの資産管理と利回り獲得を支援しています。しかし、2025年11月3日の早朝、このプロトコルは深刻な脆弱性攻撃を受けました。攻撃者はBalancer V2のコンポーザブル・ステーブルプールから約1億2,800万ドルを引き出しました。この事件は市場の信頼を損ない、多くのDeFiプロジェクト、特に高リスク資産の価格を下落させました。これはBalancerだけの問題ではなく、DeFiエコシステム全体への警鐘です。技術革新が急速に進む一方で、セキュリティ問題は依然として絶え間ない脅威となっています。

事件は日曜日の早朝、北京時間午前2時頃に発生しました。当時、世界中のトレーダーのほとんどは休息を取っていました。攻撃者はフラッシュローンを利用して取引プールのウェイトを操作しました。当初は取引は正常に見えましたが、すぐに資金の流れが異常になり始めました。あるプールはETHやUSDCなどの資産を含む約7,000万ドルの損失を被りました。オンチェーンデータによると、損失総額は1億2,800万ドルに達しました。

契約設計における見落とし

Balancer V2のComposable Stable Poolsは高度な設計です。ユーザーは異なる流動性戦略を組み合わせることができ、重み付けを動的に調整することでリターンを最適化し、スリッページを削減できます。この柔軟性はBalancerの強みの核となる部分ですが、同時に複雑さも招きます。今回の攻撃は、コントラクトの重大な欠陥、つまり重み付け計算時の整数オーバーフロー問題を悪用しました。攻撃者がフラッシュローンを通じて大量の偽の流動性を注入したことで、プールの資産配分が歪められました。それまでバランスが取れていたETH 50%とUSDC 50%の比率は、瞬く間に極端に不均衡になりました。その後、攻撃者は実資産を抽出し、ローンの返済に充てることで裁定取引を完了しました。

数か月前、セキュリティ企業Webacyが監査中にこの潜在的な問題に気づきました。彼らは、数式が極端な条件下で誤動作する可能性があると指摘しました。しかし、この警告は間に合いませんでした。当時、Balancerチームは、Uniswap V4などの競合他社からの圧力に対抗するための新機能の開発に注力していました。DeFi業界の開発ペースは速く、コードレビューが遅れることがあります。これは孤立したケースではなく、今年DeFi分野では同様のインシデントが複数発生し、総損失は21億7000万ドルを超えています。例えば、Roninブリッジへの6億ドルの攻撃とPoly Networkの脆弱性は、どちらも同様の設計上の欠陥に起因していました。イーサリアムの創設者Vitalik Buterin氏は後に、この複雑さはDeFiにとって諸刃の剣であり、よりシンプルな設計の方が多くの場合より安全であるとコメントしました。

攻撃者は非常に熟練していました。DeFi開発の経験があり、Solidity言語の境界条件を利用してこの操作を実行した可能性が高いです。資金追跡調査によると、一部の資産がミキシングツールに流入し、攻撃者の活動がさらに隠蔽されていました。このインシデントは、スマートコントラクトのセキュリティ監査には、境界テストや形式検証など、より厳格なプロセスが必要であることを改めて認識させるものです。

チームの対応

Balancerチームの対応は称賛に値するものでした。インシデント発生からわずか15分で緊急メカニズムを発動し、影響を受けたすべてのV2プールを凍結しました。これは事前に準備された緊急時対応策であり、以前の監査でテストされていました。創設者のフェルナンド・マルティネリ氏は、ライブストリーミングと公式発表を通じてユーザーに向けて、「これは内部エラーであり、当社が全責任を負います」と述べました。

次に、チームはPeckShieldやCertikなどの監査法人と協力し、詳細な調査を実施しました。その結果、脆弱性は高頻度の重み付け調整における境界条件の不適切な処理に起因し、資産の誤配分につながっていることが明らかになりました。チームは48時間以内に詳細なレポートを公開し、マルチ署名と強力な検証ツールを追加したバージョンV2.1をリリースすることを約束しました。重要な焦点となっているのは補償計画です。損失の90%はVaultファンドで補填され、残りはDAO投票によって決定され、小規模ユーザーを優先します。同時に、ガバナンストークンBALの一部をバーンし、市場価格の安定化を図る予定です。

コミュニティの反応は二極化しました。チームの透明性と効率性を称賛する声がある一方で、早期警告がなぜ無視されたのかを疑問視する声もありました。ある匿名の開発者は、開発のプレッシャーが大きすぎてエッジケースのテストが不十分だったと述べています。しかしながら、11月4日に補償ポータルが稼働し、ユーザーは資金の請求を開始しました。あるユーザーは、チームが損失を返金してくれただけでなく、補償として追加のトークンも提供してくれたため、DeFiへの参加を再考したと述べています。

DeFiからの教訓

Balancer事件は、DeFiの根深い問題を映し出す鏡となっています。分散化とは中央集権的な権限が存在しないことを意味しますが、同時に、責任がすべてコードとコミュニティに委ねられることも意味します。イノベーションは急速に進む一方で、セキュリティ対策は遅れています。今年発生した複数の脆弱性インシデントは、業界が意識改革を行う必要があることを示しています。Ronin事件を受けて、ブリッジングセキュリティの強化に取り組むべきでしたが、同様の問題が繰り返し発生しています。

専門家は「セキュリティ第一」のアプローチを推奨しています。これには、契約ロジックの検証に形式検証ツールを使用することや、AIを活用した監査を導入することが含まれます。Optimismのようなレイヤー2ネットワークはセキュリティ基金の設立を加速させており、Uniswapは監査予算を増額しました。開発者コミュニティは、セキュリティのベストプラクティスを共有するためのオープンソースイニシアチブをいくつか立ち上げています。Vitalikの記事は、問題は複雑さではなく、リスクを無視することにあると強調しています。

長期的には、今回の事件はDeFiの成熟を加速させる可能性があります。従来の金融からより専門的な監査が集まり、ユーザーのリスク回避姿勢が強まるでしょう。DeFiはリスクフリーの楽園ではなく、むしろ慎重な参加が求められる分野です。