2022年10月、Mango Marketsはオラクル価格操作により1億1,600万ドルを失いました。
2022年5月、Venusはオラクル価格更新の遅延により1,120万ドルを失いました。
昨年7月、Rho Marketsはコントラクトアップグレードによって誤ったオラクル価格が発生し、760万ドルを失いました。
実は、これらの損失は完全に回避可能だったのです。どうやって?続きをお読みください。
オラクル:DeFiプロトコルの生命線
ブロックチェーンにデータを供給するオラクルは、レンディングやデリバティブといったDeFiのユースケースの基盤となっています。しかし、Compound、Cream Finance、Mango Markets、Venus、Rho Marketsなど、多くの主要プロジェクトがオラクル関連の攻撃によって大きな損失を被っています。
あなたがレンディングプラットフォームにETHを1枚預けて何らかの資産を借りようとしたところ、担保が6万3千ドル以上の価値を持っていることに気づいたら、どう思いますか?大当たりだと思うかもしれません。しかし、プロトコルチームにとっては悪夢のようなシナリオです。これは実際に昨年、Rho Marketsで起こったことです。
価格異常:見落とされがちな致命的な欠陥
2024年7月19日、Rho Marketsは新しい資産マーケットを立ち上げるためにスマートコントラクトをアップグレードしました。しかし、デプロイスクリプトの設定ミスにより、オラクルからのBTCとETHの価格が入れ替わってしまいました。その結果、ETH価格が誤って20倍に膨れ上がり、ユーザーはごくわずかなコストで大量の資産を借りることが可能になり、最終的に760万ドルの損失につながりました。
重要なタイムライン(UTC):
- 1️⃣ 08:58:29(ブロック7580110)— オラクルは正常なETH価格を返していました。
-
2️⃣ 08:58:32(ブロック7580111)— オラクルコントラクトが更新されました。トランザクションハッシュ:https://app.blocksec.com/explorer/tx/scroll/0x9d2388a0c449c6265b968d86f0f54e75a5b82e2b04176e35eefdff5f135547ec
-
3️⃣ 08:58:34(ブロック7580112)— わずか1ブロック後、オラクルが返すETH価格は3,384ドルから63,653ドルへと急騰しました(BTCの価格が誤ってETHに適用されました)。これは実際の価値の17倍です!
-
4️⃣ 08:59:49 — わずか1分後、最初の攻撃が開始されました:MEVボットが84 ETHを担保として942 wstETHを借り入れました。このプロセスを繰り返し、ボットは760万ドルを引き出しました。最初の攻撃のトランザクションハッシュ:https://app.blocksec.com/explorer/tx/scroll/0x0a7b4c6542eb8f37de788c8848324c0ae002919148a4426903b0fb4149f88f05
-
5️⃣ 10:33:01 — プロトコル上の脆弱なコンポーネントが無効化されましたが、すでに手遅れでした。
もしRho MarketsがPhalconのOracle Monitorsを導入していたら、状況はどう変わっていたでしょうか?
👉 👉 Phalconは異常な価格を即座に検知し、自動化された緊急対応をトリガーして、攻撃の機会を完全に遮断していたでしょう。
Phalconがサポートするオラクル価格異常監視:
-
価格変動(Price Deviation):オラクル価格変動の大きさを監視し、急激な急騰・急落を検知します。(例:2回のサンプリング間で価格が200%以上変動した場合にアラート)
-
価格範囲(Price Range):許容可能な価格の範囲を設定します。(例:価格が2,380ドル〜4,380ドルの範囲外になった場合にアラート)
-
価格不一致(Price Mismatch):ベースとなるオラクルの価格を参照オラクルと比較します。(例:価格差が30%を超えた場合にアラート)
通常、プロジェクトチームはコントラクトのアップグレードやパラメータ変更の前に、重要な設定を厳密にチェックします。しかし、今回のインシデントでは、人為的な見落としによりオラクル価格のチェックが漏れてしまいました。今回はMEVボットによって失われた資産が返還されましたが、このような「幸運」はほとんどの攻撃において稀です。
実際には、上記のいずれかのモニターを設定していれば、システムは異常なオラクル値を即座に検知し、サポートされている7つの通知チャネルのいずれかを通じてチームに警告できたはずです。さらに重要なのは、手動での対応はしばしば遅すぎるということです—異常発生からエクスプロイトまでの時間は極めて短いことがあります(今回のケースではわずか1分でした)。Phalconを使えば、緊急防御が自動的にトリガーされるため、攻撃はそもそも発生する余地がありません。
遅延と障害もまた致命的になり得る
2022年5月、LUNAの価格更新が0.107ドルで停止しました。Venusプロトコルはそれに間に合うように気づくことができず、古い価格のまま稼働し続けました。4時間後—チームが対応した頃には、実際の価格は0.01ドルまで下落していました。この間、複数のアドレスが$LUNAを担保にして大量の資産を借り入れ、プロトコルには約1,120万ドルの損失が生じました。
もしVenusがPhalconのOracle Monitorsを導入していたら、状況はどう変わっていたでしょうか?
👉 👉 Phalconは価格更新の遅延やオラクルのヘルスチェックの監視をサポートしており、価格フィードの適時性と信頼性を確保します。もし何らかの異常が発生していれば、チームは即座に警告を受け取っていたはずです。
多くのプロジェクトは単一のオラクルを価格ソースとして依存しており、価格異常から身を守る仕組みを備えていません。何か問題が起これば、攻撃者が利益を得て、ユーザーは清算され、プロジェクトの評判は傷つきます。
Phalconはカスタムオラクルとサードパーティオラクル(ChainlinkやPythなど)の両方を監視でき、価格の安定性と正確性をリアルタイムで保証し、清算や価格操作のリスクを防ぎます。
BlockSec Phalconとは?
Phalconは、セキュリティ脅威防止(Security APP)とコンプライアンスリスク管理(Compliance APP)をシームレスに組み合わせ、セキュリティとコンプライアンスの両方を統合したソリューションをユーザーに提供します。
Security APP
🔗 https://blocksec.com/phalcon/security
以下を含む、ローンチ後の包括的な保護を提供します:
- リアルタイムの攻撃監視
- 運用、インタラクション、財務、カスタムリスクの監視
- Safe{Wallet} ダイナミックプロテクション
- トークン価格、数量、重要な変数、機微なイベント、関数呼び出しに対する柔軟な監視
- 自動化された緊急対応(EOAおよびマルチシグウォレットに対応)
Compliance APP
🔗 https://blocksec.com/phalcon/compliance
アドレスのスクリーニングとトランザクションのリアルタイム監視を行い、VASPがリスクエクスポージャーや疑わしいユーザー行動を特定し、AML/CFTコンプライアンス要件を満たすことを支援します。
🔥 今すぐ試す
BlockSec Phalconは現在、Ethereum、BSC、Solana、Base、Tron、Arbitrum、Avalanche、Optimism、Manta、Merlin、Mantle、Sei、Bitlayer、Core、BoB、Story、Sonic、Gnosis、Berachainなど、30以上の主要ブロックチェーンをサポートしています。
今すぐ製品デモを予約しましょうをクリックするか、下記のリンクをご覧ください。わずか10秒で始められます—先着30名様に無料トライアルをプレゼント!
🔗 デモを予約する: https://blocksec.com/book-demo
