Stake DAO、攻撃者によるArbitrumでの5.4兆vsdCRV不正発行でエクスプロイト被害

攻撃者がStake DAOのプロトコルデプロイヤーの秘密鍵を侵害し、Arbitrum上で5.4兆vsdCRVトークンを不正発行するエクスプロイトが発生した。

BlockSecはX（旧Twitter）で、「根本原因はStake DAOのデプロイヤー秘密鍵の侵害であり、攻撃者はvsdCRVの任意のピアを設定し、無条件のミントを引き起こす悪意のあるメッセージを偽造することができた」と述べている。

Arbiscanのデータによると、攻撃者は5月27日09:17:58 UTCにLayerZero v2 Executorの呼び出しを介して、正確に5,446,744,073,709.551615 vsdCRVを発行した。PeckShieldは、これまでに43.78 ETH（約9万1000ドル相当）がスワップされ、イーサリアムにブリッジされたと報告している。vsdCRVは、Curve Financeのガバナンスエコシステムで使用されるStake DAOのリキッドロッカートークンであるsdCRVの投票強化ラッパーである。

今回のエクスプロイトは、DeFiセキュリティにとって厳しい状況に拍車をかけるものである。4月以降、数十件のハッキングにより6億ドル以上が失われており、その中には北朝鮮のラザルスグループに関連する2億9300万ドルのKelp DAOエクスプロイトが含まれる。Stake DAOからは検証済みの事後分析や最終的な損失見積もりは開示されておらず、エクスプロイトは継続しているように見える。

鍵の侵害とスマートコントラクトのバグの区別は、回復の見通しにとって重要である。スマートコントラクトの脆弱性は修正可能である。一方、秘密鍵の侵害は、攻撃者がマルチシグやタイムロックなどの十分な保護措置なしに、重要なミント権限—今回の場合はArbitrum上のvsdCRVのデプロイヤーウォレット—を掌握したことを意味する。

今回のインシデントは、クロスチェーンセキュリティに関する新たな疑問も提起する。Stake DAOはネットワーク間のトークン移動にLayerZeroを使用している。LayerZero自体は侵害されていないものの、宛先チェーンで裏付けのない供給量を発行できたことは、ブリッジベースのトークンアーキテクチャに内在するリスクを浮き彫りにしている。4月のKelp DAOエクスプロイトでも、偽造されたLayerZeroパケットを悪用してチェーン間でrsETHがロック解除された。

sdCRVまたはvsdCRVを含む流動性プールは、攻撃者が膨張した供給量を売却し続けるため、潜在的な不均衡に直面している。sdCRVの保有者は、裏付けとなるCRVが依然として intact であるかどうかを評価する必要がある。Curve Warsにおける競合他社、特にConvex Financeは、Stake DAOに対するユーザーの信頼が低下した場合、安全な逃避先として利益を得る可能性がある。

本記事は情報提供のみを目的としており、投資助言を構成するものではない。