Conic Financeハッキング被害｜監査対象外の部分で起きていた

2023年07月23日 07時06分

「監査済み」の言葉の重みはどこへ

分散型金融（DeFi）プロトコルの「Conic Finance」が、21日から2度にわたりハッキングされ、2つのオムニプールから合計約5億円のユーザー資金が盗まれた。現在、全てのプールへの入金は停止され、出金のみが可能となっており、調査が進められている状況だ。

Deposits across all Omnipools have been shutdown. Users are still able to withdraw. We are assessing the situation and will provide updates as soon as we have them.
— Conic Finance (@ConicFinance) July 21, 2023

Conic Financeは、今年3月1日に稼働を開始した比較的新しいプロトコルだ。ユーザーが資金を預けると、Conic Financeが自動的にCurve Finance全体で運用をしてくれ、ユーザーは少ない手間で効率的に運用できる。このプロトコルには稼働直後から6000万ドル（約85億円）以上の資金が預けられ、ハッキング直前には1億ドル（約140億円）を超える資金が預けられていた。

注目したいのは、Conic Financeは、ブロックチェーンセキュリティ企業「PeckShield」による監査を受け、比較的安全とされたいたが、このような事態となってしまった。この事件を受けてPeckshieldは声明を発表した。

Hi @ConicFinance Based on the initial analysis from the malicious tx, our initial analysis shows the root cause comes from the new CurveLPOracleV2 contract.https://t.co/JmunQImiE5

FWIW, our audit identifies a similar read-only reentrancy issue. However, the same issue is… https://t.co/lTgYq4Xp49 pic.twitter.com/bXXC7y1OCL
— PeckShield Inc. (@peckshield) July 21, 2023

悪意のある TX からの最初の分析に基づくと、根本原因は新しい CurveLPOracleV2 コントラクトにあることがわかります。

私たちの監査により、同様の読み取り専用の再入可能の問題が特定されました。ただし、監査範囲の一部ではなかった、新しく導入された CurveLPOracleV2 契約でも同じ問題が発生します。

つまり、監査範囲外で起きたわけだ。

このような事例は、初めてではない。今年4月には、zksync上のDEX「Merlin」が、同じく監査済みであるにもかかわらずハッキングされ、100万ドル（約1.3億円）以上のユーザー資金が盗まれた。

ブロックチェーン分析企業Chainalysisによると、昨年は暗号領域において「ハッキング被害額が過去最大の年」となった。そのほとんどは、DeFiを標的にしたものだった。

関連：秘密鍵漏えい・フィッシング攻撃による暗号資産ハッキング多発