- 移動された資産には、StakeWise Staked Ether（OSETH）、Wrapped Ether（WETH）、Lido wstETH（wSTETH）が含まれていました。
- 2023年9月、Balancerはフィッシング攻撃を受け、約238,000ドルの損失を被りました。
- 8月には別の脆弱性が発見され、Balancerの流動性プールから約100万ドルが流出しました。
約7,000万ドル相当のデジタル資産が関与する疑わしいエクスプロイトにより、Ethereumの主要な分散型取引所の一つであるBalancerが再び注目を集めています。
この事件は、透明性と自動化が深刻な構造的脆弱性と共存することが多い分散型金融（DeFi）のセキュリティについての議論を再燃させました。
また、パーミッションレスアクセス、オープンソースコード、コンポーザブルなスマートコントラクトといったDeFiのコア機能が、熟練した攻撃者に狙われた場合、いかにして一瞬でリスクに変わるかを示しています。
Balancerにとって、この侵害はデジタル金融全体のリスク認識を変え、DeFiエコシステム全体でより強力かつ協調的な防御を求める声を高めているサイバーインシデントの記録に加わるものです。
Ether関連資産7,000万ドルが新ウォレットに移動
ブロックチェーン記録によると、Etherscan上でBalancerの流動性プールから7,090万ドル相当の資産が新たに作成されたウォレットに3回のトランザクションで移動されたことが示されています。
分析会社Nansenのデータによれば、移動された資産は6,850 StakeWise Staked Ether（OSETH）、6,590 Wrapped Ether（WETH）、4,260 Lido wstETH（wSTETH）でした。
オンチェーンアナリストはウォレットの挙動を追跡し、過去のDeFi流出パターンとの類似点を観察しました。
ブロックチェーンセキュリティ企業Cyversは、複数のチェーンにまたがる最大8,400万ドルの不審なトランザクションがBalancerに関連している可能性があると報告しました。
同社は現在、これらの移転がスマートコントラクトの脆弱性を通じて調整されたものか、またはプロトコル間の流動性フローを悪用した外部エクスプロイトによって促進されたものかを分析しています。
Balancerにおける攻撃の歴史
2023年9月、プロトコルのウェブサイトはドメインネームシステム（DNS）ハイジャックによって侵害され、ユーザーがフィッシングインターフェースにリダイレクトされました。
ハッカーは秘密鍵を取得し資金を流出させるための悪意あるスマートコントラクトを実行し、ブロックチェーン調査員ZachXBTによると約238,000ドルの損失が発生しました。
そのわずか1か月前の8月、Balancerはステーブルコインのエクスプロイトを報告し、流動性提供者は約100万ドルの損失を被りました。
この事件は、チームが特定の流動性プールに影響を与える「重大な脆弱性」を公表した直後に発生し、部分的に緩和されたものの、特定の構成では依然として悪用可能な状態でした。
このような短期間での事件の再発は、DeFiのオープンソース性がイノベーションを促進する一方で、攻撃者にプロトコルの弱点を狙う進化する設計図を提供していることを示唆しています。
これらの侵害は、セキュリティ監査だけでは不十分であり、継続的なオンチェーン監視とリアルタイムのリスク緩和システムが不可欠であることを示しています。
DeFiのセキュリティパラドックス
Balancerの事例は、分散型金融の根幹にあるパラドックスを浮き彫りにしています。
仲介者を排除することで、プロトコルは透明性と自律性を実現しますが、資金が不正に取得された場合の介入の可能性も排除されます。
中央集権型取引所がトランザクションを凍結または取り消すことができるのに対し、DeFiプロトコルは不変のスマートコントラクト上で動作します。
一度エクスプロイトされると、損失は恒久的であり、通常は回復不可能です。
この構造的な硬直性は、こうした脆弱性を大規模な導入への障壁とみなす機関投資家から批判を受けています。
これに対応して、一部のDeFiプロジェクトは分散型保険プール、高度な監査フレームワーク、コントラクトコードの形式的検証など、階層的な防御策を導入しています。
しかし、これらの対策はエコシステム全体で一貫しているわけではありません。
Balancerの繰り返されるセキュリティ問題は、流動性インセンティブとコンポーザビリティがいかにしてシステミックなリスクを増幅させるかのケーススタディとなるかもしれません。
DeFiプロトコルが共通のトークン標準やクロスチェーンブリッジを通じてより相互接続されるにつれ、単一のスマートコントラクトが侵害されるだけで、複数のプラットフォームにわたる連鎖的な金融リスクを引き起こす可能性があります。
