8月の暗号資産損失額が2億1500万ドルに達し、攻撃者は市場操作へシフト
暗号資産プロトコルは8月、セキュリティインシデントにより約2億1500万ドルを失ったが、この見出しの数字は、より重大な構造変化を覆い隠している。支配的な攻撃ベクトルはもはやスマートコントラクトの脆弱性ではなかった。価格操作、ガバナンス権限の悪用、上流依存の障害が損失の大部分を占め、攻撃者の手口に構造的変化が起きていることを示している。
機会主義から計画性へ
データは、攻撃者の成熟を示している。以前のエクスプロイトの波が未修正のコントラクトを機会的にスキャンすることに依存していたのに対し、8月のインシデントは設計されたものに見える。攻撃者はポジションを積み上げ、ガバナンスのタイムロックを把握し、オラクルフィードやサードパーティ依存における単一障害点を特定してから攻撃に踏み切っている。価格操作は通常、薄い市場で担保やLPポジションの評価額を歪め、その後、融資、償還、清算の経路を通じて価値を引き出す形で行われた。
ガバナンス権限の悪用は第二の柱である。いくつかの事例では、侵害された、あるいは悪意をもって取得された管理者鍵、提案権、マルチシグ署名者アクセスが、プロトコルパラメータの変更、トークンの発行、トレジャリーの流出に使用された。これは、どれだけ契約監査を行っても防げなかった攻撃である。なぜなら、コードは書かれたとおりに正確に実行されたからだ。
フィッシングの高度化
フィッシングも進化した。攻撃者は、かつて信頼されたプロジェクトが使用していた期限切れドメインを乗っ取り、X（Twitter）アカウントを侵害して悪意あるリンクに信頼性を与え、ブランドへの信頼そのものを攻撃対象に変えた。これらの戦術は安価で拡張性があり、プロトコル層では修正が難しい。
DeFiリスクモデルへの示唆
DeFiチームにとって、8月の報告は、コード監査に偏ったセキュリティ予算が誤配分されていることを示唆している。限界的リスクは今や以下に存在する。
- オラクルと市場深度の設計 — 薄い流動性はUXの問題ではなく脆弱性である。
- ガバナンスと鍵管理 — タイムロック、署名者の分散、提案閾値は敵対的レビューが必要である。
- 依存関係のマッピング — 上流プロトコル、RPCプロバイダー、ドメインインフラは攻撃対象の一部である。
- ユーザー向けの信頼チャネル — ソーシャルアカウントとドメインは継続的な監視を要する。
次に注目すべきこと
保険会社、監査人、リスクキュレーターは、コードの正確性だけでなく、操作耐性を中心にカバレッジと担保要件を再価格設定すると予想される。操作耐性のあるオラクル設計、強化されたガバナンス、依存関係の冗長性を実証できるプロトコルは、ますますリスクプレミアムを獲得する一方、そうでないプロトコルは保険不能になる可能性がある。8月の数字は急増というよりもシグナルである。攻撃対象はコントラクトから市場、そしてその背後にある組織へと移ったのだ。
