Back to Blog

金星テテナ(THE)事件:何が壊れ、何が見落とされたか

March 17, 2026
19 min read

2026年3月15日、攻撃者はVenus ProtocolのCore Pool(BNB Chain)におけるTHE(Thena)マーケットの供給上限を迂回し、担保ポジションを本来の限度額の3.67倍まで膨張させ、約1490万ドルの資産を借入しました[1]。初期のメディア報道では約370万ドルのエクスプロイトとされていましたが、オンチェーンの状況はより複雑であり、プロトコルも攻撃者も最終的に損失を被りました

Venus自身の事後分析[1]および複数の事前分析[2, 3, 4]では、供給上限の迂回、寄付型攻撃(donation attack)のベクトル、および基本的な資金の流れについて、攻撃メカニズムが詳細に解剖されています。本稿では、その内容を繰り返しません。代わりに、プロトコルと攻撃者の両方におけるオンチェーンの損益状況を検証し、貸付プロトコルの防御策が露呈したシステムリスクに焦点を当てます。

本稿では、攻撃と清算プロセスを分析し、資金の完全な流れを追跡することで、254の清算ボットが8,048件のトランザクションでポジションを解消するために競合したにもかかわらず、215万ドルの不良債権が残ったことを発見しました[1]。清算はトリガーされましたが、不十分でした。攻撃者は992万ドルを投資しましたが、すべての清算後には約520万ドルしか保持しておらず、オンチェーンでの純損失は約470万ドルとなりました。これらの発見は、貸付プロトコルの3つの防御層すべてが実際のストレス下でいかに失敗したかを明らかにし、出現した早期警告信号が効果的に行動されなかったことを示しています。これは、既存のセーフガードの限界を露呈し、コミュニティがこのインシデントから学び、監視および早期警告能力を強化する必要性を強調しています。


背景

供給上限は、Compoundスタイルの貸付マーケットにおける標準的なリスク管理策です。これは、特定の資産が担保として預けられる量を制限し、ボラティリティの高い、あるいは流動性の低いトークンに対するプロトコルのエクスポージャーの上限を提供します。Venusは、トークンのオンチェーン流動性が薄いことを反映して、THEマーケットの供給上限を**1450万THE**に設定しました。

供給上限の後ろには、さらに2つの安全層があります。オラクルベースの担保評価は、借り手が預け入れ資産に対してどれだけ借り入れられるかを決定します。ポジションが担保不足になった場合、競争的な清算マーケットが介入することが期待されます。サードパーティのボットが負債を返済し、割引価格で担保を没収することで、プロトコルを健全に保ちます。

この3層構造(エクスポージャー制限、評価、清算)は、ほとんどの貸付プロトコルのリスクフレームワークを形成します。VenusのTHEインシデントは、これら3つの層すべてを同時にテストし、すべてが不十分であることが判明しました。以下では、各層がどのようにテストされ、どこで不十分だったかを検証します。


攻撃

迂回:寄付型攻撃(Donation Attack)

ほとんどのCompoundフォークにおける供給上限は、ミントパス、つまりvTokensを発行する前にキャップをチェックする標準的な預け入れ関数のみを制約します。これらは、コントラクトアドレスに直接転送されたトークンを考慮しません。

攻撃者はこのギャップを悪用しました。vTHEコントラクトへの直接のERC-20転送は、新しいvTokensをミントせずに、基盤となるトークン残高を増大させます。Compoundスタイルの会計では、これはvTokensと基盤となる資産との間のexchangeRateをインフレさせます。既存のvToken保有者は誰でも利益を得ます。彼らのvTokensは、より多くの基盤となるトークンに対する請求権を表すようになり、プロトコルから見た実効担保価値が増加します。

この「寄付型攻撃」は、Compoundフォークにおける既知の脆弱性クラスです。供給上限をミントパスでのみ強制するプロトコルはすべて脆弱です。基盤となる資産への実効エクスポージャーは、制限チェックをトリガーすることなく、キャップをはるかに超える可能性があります。

準備(2025年6月~2026年3月)

攻撃は3月15日に始まったわけではありません。攻撃者はTornado Cashを経由して、資金提供アドレス(0x7a79...f234)から7,447 ETHを受け取り、そのETHをAaveに担保として預け入れ、992万ドルのステーブルコイン(USDTDAIUSDC)を借入しました。これらの資金は、2025年6月からTHEを購入するために複数のウォレットに分散され、攻撃当日の午前には合計で供給上限の84%(約1220万THE)に達するポジションを徐々に構築しました。

攻撃者の累積vTHEポジション(2025年6月~2026年3月)。9ヶ月にわたる段階的な蓄積、その後の完全な清算。

この9ヶ月の準備期間は、常にオンチェーンで可視的でした。各預け入れ後、プロトコルのオンチェーン状態(総供給量、キャップに対するポジションの集中度)は公開クエリ可能でした。しかし、個々のトランザクションは日常的なものであり、従来の警告をトリガーすることはありませんでした。この種のリスクを検出するには、プロトコルレベルの状態変化の継続的な監視が必要です。これは、プロトコルセキュリティフレームワークが改善する必要がある領域です。

攻撃者は、すべて単一のTornado Cash資金提供元に追跡可能な複数のアドレスを通じて操作しました。

アドレス 役割
0x7a79...f234 資金提供:Tornado Cashから7,447 ETHを受け取り、Aaveに預け入れ、992万ドルのステーブルコインを借入
0x43c7...2f82 攻撃者EOA
0x737b...a619 攻撃コントラクト:フェーズ2-3で寄付型迂回と借入を実行。12:04 UTCに清算。
0x1a35...6231 攻撃者ウォレット:THEをミントパス経由で供給、vTHEを保有

実行(2026年3月15日)

11:00 UTC、攻撃者はプロトコル内に1220万THEを保有しており、まだ1450万キャップ内でした。11:55 UTC頃、攻撃者は攻撃コントラクト(0x4f477e...f5663f)[1]をデプロイし、コンストラクタで寄付型迂回と初期借入をアトミックに実行しました。6つのウォレットが合計約3600万THEを直接vTHEコントラクトに転送し、交換レートを3.81倍にインフレさせました。攻撃コントラクトは、0x1a35のポジションに対する借入許可を得ていたため、インフレした担保に対して資産を借入しました。

約12:00から12:42 UTCにかけて、両アドレスは再帰的なレバレッジループでフォローアップトランザクションを実行しました[1]。

  1. インフレした担保に対して資産を借入(CAKEBNBBTCBUSDC
  2. 借入資産をオープンマーケットでTHEにスワップ
  3. THEvTHEコントラクトに寄付し、交換レートをさらにインフレさせ、価格を押し上げる
  4. 借入能力を増加させて繰り返す
時刻(UTC) 供給THE キャップ比率 状況
11:00 12.2M 84% キャップ内
12:00 49.5M 341% キャップ迂回
12:42 53.2M 367% 清算前のピーク

タイムラインデータはVenusの事後分析[1]より引用。

THEのオンチェーン流動性が極めて薄いため、わずかな購入でも価格に大きな影響を与えました。THEの集計市場価格は、約0.26ドルから0.53ドル超(CoinMarketCapによる)に急騰しました。VenusのResilient Oracle(RedStoneをプライマリ、Binanceをピボットとする)は、当初急騰する価格を拒否しました。約11:55 UTCから、Binanceフィードが大幅に乖離し、約4ドルに達するにつれて、BoundValidatorは約37分間ロールバックしました[1]。この期間中、オラクルはTHEの価格を更新できませんでした。攻撃者がRedStoneのアグリゲーション全体で買い圧力を維持するにつれて、両フィードは約12:32 UTC頃に、上昇した水準で最終的に収束しました。Resilient Oracleは、約0.51ドルで価格を受け入れ[1]、プロトコルは攻撃者の担保を操作されたレートで評価し始めました。

攻撃前後におけるTHEトークンの価格変動。

交換レートのインフレ(寄付による3.81倍)と価格操作(0.26ドル→0.51ドル)の組み合わせにより、攻撃者の借入能力は約7倍になりました。しかし、THEの実際の市場深度は、このオラクル報告値のわずかな一部でした。

過剰伸長と崩壊(約12:42 UTC以降)

最初の借入資産の回収後、攻撃者は停止することも可能でした。しかし、彼らは借入資金をさらにTHEの購入に投入し続け、さらなる価格上昇を強制しようとしました。これにより、ヘルスファクターは1に近づきました[1]。12:42 UTC、ポジションは5320万THEでピークに達しました。

買い圧力が止まると、THEのインフレした価格を支えるものは何もなくなりました。清算ボットとパニックになった保有者からの売り圧力が、薄いビッドサイド流動性を圧倒し、THEの価格は約0.51ドルから約0.22ドルに暴落しました[1]。これは、攻撃前の0.26ドルの水準をはるかに下回っていました。連鎖的な清算により、約4200万THEの担保が解消され[1]、プロトコルの最後の防御層が作動しました。サードパーティの清算業者が損失を制限するために介入しました。


清算の現実

DeFi貸付では、仮定は単純です。ポジションが損失を被ると、サードパーティの清算業者が介入し、負債を返済し、割引価格で担保を没収し、プロトコルを健全に保ちます。VenusのTHEインシデントはこのメカニズムを壊したわけではありません。それはその限界を露呈しました。

彼らは来た。しかし十分ではなかった。

オンチェーン清算データ(VenusのDuneダッシュボード[5]より、追加のトランザクションレベル分析を含む)は以下を示しています。

メトリック
総清算トランザクション(vTHE、3月15日) 8,048
ユニーク清算呼び出し元 254
清算エントリーコントラクト 0x0870...cf43 (Venus Core Pool Liquidator)
Venusから借入された総資産 約1490万ドル [1]
残存不良債権 約215万ドル [1]

Duneダッシュボードは、すべてのトランザクションの清算元として0x0870...cf43を記録しています。このアドレスはVenusのCore Pool Liquidatorコントラクトであり、許可不要のエントリーポイントを通じて、任意の外部呼び出し元が清算を実行できます。実際のトランザクション送信者をクエリすると、8,048件のトランザクションにわたって清算機会を競合する254の異なるアドレスが明らかになりました。

8,048件のvTHE清算トランザクションのうち、8,039件は攻撃者のメインポジション(0x1a35)を対象としていました。残りの9件は、価格暴落に巻き込まれた少額のvTHE保有者である4人の無関係なユーザーを清算しました。

参加が完全な回収につながったわけではありません。ボットはvTHEを没収し、BNBBTCBCAKEUSDCWBNB建ての負債を返済しました。利益を上げるためには、そのTHEをオープンマーケットで売却する必要がありました。わずか数百万ドルの深度しか持たない市場に5300万THEが投入されたばかりであり、没収された担保は、大規模なスリッページなしに安定した価値に変換できませんでした。結果:215万ドルの負債をカバーできず、Venusのバランスシート上の不良債権となりました。

2つのポジション、2つの結果

攻撃者は異なる担保タイプを持つ2つのポジションを操作していました[2]。これら2つは補完的な役割を果たしました。0x1a35は9ヶ月にわたってTHEを蓄積し、インフレした担保に対して価値のある資産を借入した主要ポジションであり、一方0x737bは寄付型迂回をアトミックに実行し、交換レートをさらにインフレさせるために(USDCを担保として)THEを借入した攻撃コントラクトでした。それぞれの清算結果は、タイミングとメカニズムの両方で異なりました。

アドレス 担保 トランザクション数 返済された負債 結果
0x737b(攻撃コントラクト) vUSDC 603 72.9万ドル 約35.9万ドルのTHE負債が残存 [1]
0x1a35(攻撃者ウォレット) vTHE 8,039 約1200万ドル回収 約179万ドルの不良債権(没収されたTHEは流動性なし)

0x737bポジションは、ポンプフェーズ中の12:04 UTCに最初に清算されました[2]。その担保は158万USDC(固定価値)であり、負債はTHE建てでした。ポジションはTHE約0.26ドルの最小マージンで作成されました。攻撃者がDEXでTHEを買い続け、市場価格を約0.51ドルに押し上げたため、THE負債の価値はUSDC担保をはるかに超え、清算をトリガーしました。清算業者はUSDCを没収しましたが、603件のトランザクションの後でも、没収された担保はTHE負債を完全にカバーできず、約185万THE(約35.9万ドル)の未払いが生じました[1]。これはおそらく意図的でした。0x737bの目的は、寄付型迂回のためにTHEを借入することであり、その任務が完了したら、USDC担保の損失は許容できるコストでした。

0x1a35の清算が真実を語っています。その担保はTHE自体でした。254のボットが8,039件のトランザクションでそれを清算するために競合しましたが、没収されたTHEは、オラクル報告値に近い値で売却できませんでした。タイムラインはダイナミクスを示しています。

時間(UTC) トランザクション数 返済された負債 フェーズ
12:00-12:59 3,416 約383万ドル THE価格暴落、最大スリッページ
13:00-13:59 4,626 約1040万ドル 価格安定、清算の大半

両ポジションがプロトコルの損失に寄与しました。0x737bの未払いTHE負債からの約35.9万ドルと、0x1a35の流動性のないTHE担保からの残りの大部分です。Venusから借入された総額約1490万ドルのうち[1]、清算業者はその大部分を回収することに成功しました。残りの約215万ドルが、Venusのバランスシート上の不良債権となりました。

Dune由来の数値に関する注意: Venus Duneダッシュボード[5]は、daily_market_infoテーブルからの日次スナップショット価格を使用して、没収された担保と返済された負債を評価しています。THEの価格が日中に約0.53ドルから0.22ドルに下落したため、Duneから導出されたUSD値(時間ごとの内訳と、次のセクションの収益側数値を含む)は、リアルタイム値と異なる場合があります。公式の数値(総借入額約1490万ドル、不良債権約215万ドル[1])が利用可能な場合は、それらを権威ある情報源として使用します。絶対的なUSD値は異なる場合がありますが、根本的な傾向と結論は一貫しています。


資金の流れ

清算データは、ポジションがどのように解消されたかを示しています。攻撃者の実際の損益(P&L)を理解するには、個々のトランザクションを超えて、攻撃者が投入した額と、すべての清算完了後に保持した額を比較する必要があります。

投入されたもの

攻撃者の資金調達チェーン:Tornado Cash経由で7,447 ETHを受け取り、Aaveに担保として預け入れ、992万ドルのステーブルコイン(USDTDAIUSDC)を借入し、9ヶ月にわたってTHEvTHEを取得するために複数のウォレットに分散されました。全額992万ドルはVenus上のTHEポジションに換算されました。攻撃後、すべてのTHE担保は清算され、この投資は事実上失われました。

Venusから借入されたもの

ピーク時(12:42 UTC)、攻撃者はVenusから合計約1490万ドルを借入していました[1]。

アドレス 担保 借入資産
0x1a35(攻撃者ウォレット) 53.2M THE 667万 CAKE + 2,801 BNB + 1,972 WBNB + 158万 USDC + 20 BTCB
0x737b(攻撃コントラクト) 1.58M USDC 463万 THE

借入資産のすべてが利益として引き出されたわけではありません。かなりの部分が攻撃に再利用されました。

  • 0x1a35は、Venusから繰り返しBNBを借入し、THEにスワップし、価格ポンプと交換レートインフレを維持するためにTHEを直接vTHEコントラクトに寄付しました[1]。
  • 0x737bは、フェーズ3(関数シグネチャ0x91f38bff)中に48件のトランザクションを実行しました。そのうち2件は、価値のある資産(CAKEWBNB)を借入して保持しました。0x4253a8...eca2960xfd64d0...154808。残りは借入-スワップ-寄付ループでした。Venusから資産を借入し、THEにスワップし、THEvTHEコントラクトに寄付しました。
  • 0x737bが借入した**158万USDC**は、直ちに自身の担保として再供給されました[1]。このUSDCは後に清算中に没収され、プロトコルから出ませんでした。
  • 0x737bが借入した**463万THE**は、交換レートをインフレさせるために直接vTHEコントラクトに寄付されました[1]。

攻撃者が保持したもの

両方のVenusポジションが清算された後、攻撃者が管理するすべてのウォレット(DeBank経由)の最終トークン残高をチェックしました。

アドレス トークン 金額 USD価値
0x1a35 CAKE 1,500,000 約224万ドル
0x1a35 BTCB 20 約148万ドル
0x1a35 WBNB 200 約14万ドル
0x737b WBNB 1,972.53 約133万ドル
0x737b CAKE 16,093 約2万ドル
保持合計 約521万ドル

Aaveポジション(7,447 ETH担保、約992万ドル負債)は、変更されずに開いたままです(ヘルスファクター1.45)。992万ドルのステーブルコインはBNB Chainに引き出されTHEに変換されましたが、これはAaveの負債を削減しません。Aaveの観点からは、攻撃者は十分な担保を持つ借り手にすぎません。攻撃者は、未払い負債を差し引いたETHへのアクセスを保持しています。

純オンチェーン損益

USD
総投資額(Aave借入→THE、すべて清算で損失) -$9.92M
総保有額(清算後のVenus借入資産) +約$5.21M
純オンチェーン損失 約-$4.71M

オンチェーン運用は明らかに収益性がありませんでした。Venusから借入した約1490万ドルのうち、攻撃者は約521万ドルしか保持しませんでした。残りはTHE寄付ループに再利用されたか、清算中に没収されたか、プロトコルの不良債権として吸収されました。

プロトコルの損失

すべての清算が完了した後、Venusは約215万ドルの不良債権を残しました[1]。

資産 金額 USD価値
CAKE 約118万 約179万ドル
THE 約185万 約36万ドル
総不良債権 約215万ドル

価値の配分

関係者 純損益 備考
攻撃者(オンチェーン) 約-$4.71M $9.92M投資、約$5.21M保有
Venus Protocol -$2.15M すべての清算後の不良債権[1]
サードパーティ清算業者 不明 254ボットが参加。損益はTHEの出口価格に依存
攻撃者(CEX) 不明 パーペチュアルポジションの可能性、検証不可能

典型的なDeFiエクスプロイトでは、プロトコルまたはLPが損失を被り、攻撃者が利益を上げ、両者の間の「失われた価値」は、清算業者、アービトラージトレーダー、ブロックビルダーなどのサードパーティによって取得されます。このインシデントは、そのパターンを破ります。攻撃者もオンチェーンで損失を被りました(約471万ドル)。この損失がオフチェーンポジション(例:中央集権型取引所での永久先物[3, 4])によって相殺されたかどうかは、検証不可能のままです。


教訓:3つの防御層

この攻撃は既知の脆弱性を悪用し、教科書的なレバレッジループを使用しましたが、それでも215万ドルの不良債権を引き起こしました。真の失敗は単一のメカニズムではなく、リスクスタック全体にわたる弱点の累積効果でした。

第1層:エクスポージャー制限

Venusの供給上限は、標準的なmintパスのみを制約しました。vTokenコントラクトへの直接のトークン転送は、それを完全に迂回しました。会計上の仮定に依存するあらゆるリスク管理は、期待される預け入れフローだけでなく、すべての可能な状態変更操作に対してそれらの仮定を検証する必要があります。

第2層:担保評価

Resilient Oracleの報告価格(約0.51ドル)は、集計市場価格に近く、BoundValidatorは初期操作ウィンドウ中に37分間、極端なBinanceフィードを正しく拒否しました[1]。しかし、基盤となる市場の流動性が数百万ドルしかない場合、数千万ドルの価値のある担保にとって、「正しい」市場価格でさえ無意味です[3]。このポジションにより、攻撃者は約1490万ドルの資産を借入できましたが[1]、清算時にTHE担保はそのオラクル報告値のごく一部しか実現できず、合計215万ドルの不良債権に寄与しました。流動性の低いトークンについては、名目上の過剰担保は、オラクル価格で担保を売却できない場合、実際の安全マージンを提供しません。貸付プロトコルは、市場深度、予想スリッページ、および集中リスクを考慮した流動性調整型担保評価を組み込むべきです。

第3層:清算

貸付モデル全体は、ポジションが損失を被った場合、清算業者が介入してプロトコルを全額回収すると仮定しています。このインシデントでは、254の清算ボットがvTHEポジションだけで8,048件のトランザクションを処理しました。清算市場は活発で競争的でした。しかし、それでも十分ではありませんでした。215万ドルの不良債権が残りました。問題は清算業者の不足ではなく、流動性の不足でした。5300万THEが数百万ドルの深度しか持たない市場に投入されたとき、ボットの競争はいかなる量であっても、没収された担保を未払い負債をカバーするのに十分な価値に変換することはできませんでした。オラクル報告値から実質価値が急激に乖離する場合、清算を信頼できるバックストップとして扱うことはできません。

モニタリングのギャップ

9ヶ月の蓄積フェーズは、最初からオンチェーンで可視的でした。単一のエンティティが供給上限に近づき、低流動性資産への集中度を高め、数ヶ月にわたって徐々にポジションを構築しました。Venusは、「一部のコミュニティメンバーがエクスプロイト前にこのアドレスを指摘した」ことを認めていますが、「アドレスは当時、プロトコル制限内で完全に動作していた」こと、そして「許可不要のプロトコルとして、疑いだけでアドレスを凍結またはブラックリストに登録することはできないし、すべきではない」と述べています[1]。Venusは、是正措置の一環として、「異常な蓄積パターンをフラグ付けし、ガバナンスレベルのレビューをトリガーできるオンチェーンリスク監視メカニズムを検討している」と述べています[1]。

見逃されたシグナルは、遅い蓄積を超えて広がっています。Venusの事後分析[1]によると、オラクルの防御メカニズムは設計どおりに機能しました。BoundValidatorは極端なBinanceフィードを拒否し、37分間ロールバックし、初期操作ウィンドウ中の価格更新を効果的にブロックしました。しかし、どの監視システムもこの異常をエスカレーションしませんでした。供給上限の3倍超を単一のエンティティが保有する市場でオラクルが継続的にロールバックすることは、高重大度のリアルタイムシグナルです。37分はかなりのウィンドウです。これが自動サーキットブレーカーをトリガーしたり、手動レビューさえトリガーしたりした場合、オラクルが再収束する前にTHEマーケットを一時停止することで、借入の大部分を防ぐことができたでしょう。これはまた、より広範なギャップを露呈しています。保護を最も単純な攻撃に対してのみ提供する、アクティブ化され、その後サイレントに解決されるプロトコルの防御メカニズムは、アラートまたはエスカレーションパスがない場合、保護を提供しません。

これは2つの異なる能力ギャップを示しています。1つ目は長期間のポジション監視です。単一のエンティティの低流動性資産への集中度が、供給上限、市場深度、清算能力に対して時間とともにどのように進化するかを追跡します。9ヶ月の構築期間中の単一のトランザクションは悪意のあるものではなく、ルールは破られませんでした。2つ目はリアルタイムオラクルヘルス監視です。異常な集中度を持つ市場での継続的なオラクル異常を検出し、それらをサーキットブレーカーメカニズムにエスカレートすることです。どちらも、個々のトランザクションを超えて、システムリスクが具体化する前にそれを表面化するために、アドレスと時間ウィンドウ全体の状態変化を相関させる継続的な監視インフラストラクチャを必要とします。

結論

VenusのTHEインシデントは、新しい脆弱性を明らかにしたわけではありません。それは、既知の攻撃ベクトルが、忍耐をもって実行された場合、各層が他の層が耐えることを期待しているときに、プロトコルのリスクスタック全体をいかに圧倒できるかを示しました。警告シグナルは数ヶ月間オンチェーンで可視的でしたが、検出と介入の間のギャップは未解決のままです。流動性を考慮したリスクパラメータ、自動サーキットブレーカー、およびポジションレベルの監視を通じてそのギャップを埋めることが、このインシデントがDeFi貸付コミュニティに残す中心的な教訓です。


参考文献

  • [1] Venus Protocol, "$THE Market Incident: Post-Mortem": https://community.venus.io/t/the-market-incident-post-mortem/5712
  • [2] AllezLabs, "Venus Protocol THE Incident Timeline": https://x.com/AllezLabs/status/2033239532355858536
  • [3] hklst4r, "Venus THE Attack Analysis": https://x.com/hklst4r/status/2033192855443808515
  • [4] EmberCN, "Venus THE Attacker Fund Flow": https://x.com/EmberCN/status/2033204517467308144
  • [5] Venus Protocol Liquidation Dashboard (Dune): https://dune.com/xvslove_team/venus-liquidations

BlockSecについて

BlockSecは、フルスタックのブロックチェーンセキュリティおよび暗号コンプライアンスプロバイダーです。私たちは、コード監査(スマートコントラクト、ブロックチェーン、ウォレットを含む)、リアルタイムでの攻撃傍受、インシデント分析、不正資金追跡、およびAML/CFT義務の履行を、プロトコルとプラットフォームのライフサイクル全体にわたって支援する製品とサービスを構築しています。

BlockSecは、権威あるカンファレンスで複数のブロックチェーンセキュリティ論文を発表し、DeFiアプリケーションの複数のゼロデイ攻撃を報告し、複数のハッキングを阻止して2000万ドル以上を救済し、数十億ドルの暗号通貨を確保してきました。

Sign up for the latest updates
The Decentralization Dilemma: Cascading Risk and Emergency Power in the KelpDAO Crisis
Security Insights

The Decentralization Dilemma: Cascading Risk and Emergency Power in the KelpDAO Crisis

This BlockSec deep-dive analyzes the KelpDAO $290M rsETH cross-chain bridge exploit (April 18, 2026), attributed to the Lazarus Group, tracing a causal chain across three layers: how a single-point DVN dependency enabled the attack, how DeFi composability cascaded the damage through Aave V3 lending markets to freeze WETH liquidity exceeding $6.7B across Ethereum, Arbitrum, Base, Mantle, and Linea, and how the crisis forced decentralized governance to exercise centralized emergency powers. The article examines three parameters that shaped the cascade's severity (LTV, pool depth, and cross-chain deployment count) and provides an exclusive technical breakdown of Arbitrum Security Council's forced state transition, an atomic contract upgrade that moved 30,766 ETH without the holder's signature.

Weekly Web3 Security Incident Roundup | Apr 13 – Apr 19, 2026
Security Insights

Weekly Web3 Security Incident Roundup | Apr 13 – Apr 19, 2026

This BlockSec weekly security report covers four attack incidents detected between April 13 and April 19, 2026, across multiple chains such as Ethereum, Unichain, Arbitrum, and NEAR, with total estimated losses of approximately $310M. The highlighted incident is the $290M KelpDAO rsETH bridge exploit, where an attacker poisoned the RPC infrastructure of the sole LayerZero DVN to fabricate a cross-chain message, triggering a cascading WETH freeze across five chains and an Arbitrum Security Council forced state transition that raises questions about the actual trust boundaries of decentralized systems. Other incidents include a $242K MMR proof forgery on Hyperbridge, a $1.5M signed integer abuse on Dango, and an $18.4M circular swap path exploit on Rhea Finance's Burrowland protocol.

Weekly Web3 Security Incident Roundup | Apr 6 – Apr 12, 2026
Security Insights

Weekly Web3 Security Incident Roundup | Apr 6 – Apr 12, 2026

This BlockSec weekly security report covers four DeFi attack incidents detected between April 6 and April 12, 2026, across Linea, BNB Chain, Arbitrum, Optimism, Avalanche, and Base, with total estimated losses of approximately $928.6K. Notable incidents include a $517K approval-related exploit where a user mistakenly approved a permissionless SquidMulticall contract enabling arbitrary external calls, a $193K business logic flaw in the HB token's reward-settlement logic that allowed direct AMM reserve manipulation, a $165.6K exploit in Denaria's perpetual DEX caused by a rounding asymmetry compounded with an unsafe cast, and a $53K access control issue in XBITVault caused by an initialization-dependent check that failed open. The report provides detailed vulnerability analysis and attack transaction breakdowns for each incident.