2026年7月 DeFiインシデントトップ3

AFX Trade: 約2,415万ドル

2026年7月22日、ArbitrumベースのパーペチュアルプロトコルであるAFX Tradeはセキュリティ侵害を受け、約2,415万ドルの損失が発生しました。

このインシデントは、ブリッジコントラクトの署名検証ロジックの脆弱性ではなく、ソフトウェアサプライチェーン攻撃に起因しています。 AFXのポストモーテムによると、攻撃は7月9日に始まり、開発者がTelegramを通じて悪意のあるコードを含むプロジェクトをダウンロードするよう騙されました。これにより、攻撃者は開発環境を侵害し、内部システムへのアクセスを取得し、最終的にブリッジのバリデータインフラに対する署名権限を入手しました。

攻撃トランザクションのトレースによると、攻撃者が提出した5つのバリデータ署名はコントラクトのチェックを通過しました。アクティブなバリデータセットの総投票力は10,000であったのに対し、5つの署名は7,142を表しており、必要な3分の2の閾値を超えていました。そのため、コントラクトはそのルールに従って悪意のある出金を処理しました。ただし、オンチェーンの証拠だけでは、承認されたバリデータキーが盗まれたのか、他の手段で不正使用されたのかを判断することはできません。盗まれたUSDCはその後Ethereumに移動され、約12,467 ETHに交換されました。AFXは、このインシデントは自社管理のブリッジに限定されており、Arbitrumネットワークやネイティブのarbitrumブリッジが侵害された証拠はないと述べています。

Ostium: 約2,375万ドル

2026年7月15日、ArbitrumベースのパーペチュアルプロトコルであるOstiumはオラクル関連の攻撃を受け、OLP流動性ボルトから約2,375万ドルが流出しました。

Ostiumは、ユーザーが原資産を保有することなく、株式、外国為替、暗号資産などの市場に連動したパーペチュアル契約を取引できるプロトコルです。取引のPnLはUSDCで資金調達されたOLPボルトに対して決済されます。決済価格が操作されると、実際の市場では発生しなかった利益をボルトに支払わせることが可能になります。

このインシデントは、オフチェーンの価格インフラの侵害に起因しています。 攻撃者は信頼されたオラクル署名権限と登録済みのPriceUpKeepフォワーダーを使用して、攻撃者が制御するタイムスタンプを持つ正しく署名された価格レポートを提出しました。オンチェーンの検証器は署名者を認証しましたが、報告された価格が正当であることを確認することはできませんでした。最大のexecuteBatch() トランザクションにおいて、攻撃者はBTC/USDポジションを繰り返し開閉しました。オンチェーンイベントによると、ポジションは約5,000ドルの入力価格で開かれ、約60,000ドルで決済されています。約1,000 USDCを元手に、攻撃者は連続するループでポジションサイズを拡大し、1つのアトミックトランザクションでOLPボルトから約1,186万USDCを引き出しました。8件の支払いトランザクションはすべて同じアドレスに送られ、取引コントラクトが凍結される前に合計約2,375万ドルに達しました。

BonkDAO: 約2,000万ドル

2026年7月6日、Solana上のBonkDAOはガバナンス攻撃を受け、約2,000万ドルの損失が発生しました。

BonkDAOはSolana RealmsでコミュニティトレジャリーをManages。BONKホルダーはトークン残高に基づいて投票権を受け取り、定足数を満たした提案はガバナンスプログラムを通じてトレジャリーの指示を実行できます。攻撃者は、コードの脆弱性ではなくこのプロセスを悪用しました。

根本原因は、投票権をトレジャリーの価値をはるかに下回るコストで集中させることができ、かつ大規模な送金に実行遅延がなかったことです。 6月30日、攻撃者はBIP #76を提出し、4,426,104,450,305 BONKを自分のアドレスに送金するオンチェーン指示とともに、約440万ドルを費やしてBONKを取得しました。6日間の投票期間が終了すると、提案は8,823.8億票を獲得し、8,799.5億票の閾値をわずかに上回りました。投票したアドレスはわずか7つで、攻撃者は賛成票の約99.9%を支配していました。

タイムロックがなかったため、提案は即座に実行され、約2,000万ドル相当のBONKが攻撃者に移動しました。約9時間後、約188,000ドルが中央集権型取引所に送られ、残りの約1,900万ドルは攻撃者に関連するアドレスが管理するマルチシグに転送されました。

これらのインシデントは、DeFiプロトコルのセキュリティ境界がスマートコントラクトのコードをはるかに超えていることを示しています。AFX TradeとOstiumの両インシデントにおいて、オンチェーンの検証は設定されたルールに従って動作していましたが、侵害された開発システム、バリデータインフラ、またはオラクル権限により、悪意のある行為が正当なリクエストとして見なされました。BonkDAOもまた、正しく機能しているガバナンスコードであっても、投票閾値が経済的に脆弱で実行遅延が存在しない場合にはトレジャリーを危険にさらす可能性があることを示しています。プロトコルチームとセキュリティレビュアーは、スマートコントラクトに適用するのと同じ厳密さでオフチェーンインフラを評価するとともに、単一の権限またはインフラコンポーネントの侵害から生じる可能性のある最大損失を継続的に評価すべきです。

上記の情報は、2026年7月30日00:00 UTC時点で入手可能なデータに基づいています。