廃止されたDeFiに残っていた暗号資産が盗まれる アズテック・コネクトから3.4億円流出

廃止済みの分散型金融（DeFi）プラットフォーム「アズテック・コネクト」が日曜日、攻撃者によって検証機能を突かれ、約210万ドル、日本円にして約3億3600万円相当の暗号資産を抜き取られた。

アズテック・ラボは日曜日、Xへの投稿で「アズテック・コネクトに影響を及ぼす可能性のあるエクスプロイトについて調査している」と発表した。スマートコントラクトから約210万ドル相当が移動されたという。ただし、現在のアズテック・ネットワーク上のユーザーや資産には影響していないとしている。

今回の事件は、今月に入って相次ぐ暗号資産流出の一件にすぎない。DeFiLlamaによれば、今月だけで少なくとも12件以上のエクスプロイトが発生し、盗まれた暗号資産の総額は4400万ドル、日本円で約70億5000万円に達している。

6月に入って最大の被害となっているのは、ヒューマニティ・プロトコルで発生した秘密鍵侵害だ。6月8日に3000万ドル、日本円で約48億円が失われた。これに続くのが、前日に起きたシスコイン・ブリッジの事件で、偽の証明を使ったエクスプロイトにより800万ドル、約12億8000万円が奪われている。

暗号資産セキュリティ企業のブロックセックによれば、攻撃者は、アズテック・コネクトにおける取引の検証方法と、イーサリアム上での決済方法のズレを突いたという。

同社は、アズテック・コネクトのコントラクト上で検証された取引が、「ZK証明によって強制される取引セットに実質的に結びついていなかった」と説明している。その結果、検証経路とイーサリアム上の決済ロジックが、取引リストを異なる形で解釈できる状態になっていた。

攻撃者はこの隙を利用し、イーサリアム上で正しく検証されていないにもかかわらず、コントラクト側で価値が付与されるような取引を差し込むことができた。裏付けのない残高を作り出し、それを引き出す――。その手口は、7種類の資産に対して計7回繰り返された。

攻撃者が持ち去ったのは、909ETH、27万DAI、167wstETH、そしてその他いくつかの暗号資産だった。

アズテック・ネットワークは、イーサリアム上に構築されたプライバシー重視のレイヤー2、ゼロ知識証明（ZK）ロールアップである。今回狙われたアズテック・コネクトは、その前身にあたるプラットフォームで、2022年にDeFiブリッジとして立ち上げられた。

関連記事: 暗号資産「5月の流出額」は急減それでも消えない“橋”と秘密鍵の深い闇

だが、アズテック・コネクトは2023年3月に廃止された。入金は停止され、チームは次世代のアズテック・ネットワークへリソースを移していた。

「アズテック・ラボは、このシステムに対する管理者キーも制御権も保有していません。私たちが一時停止したり、アップグレードしたりすることはできません」

チームはそう説明している。

暗号資産開発者の「パラム」氏も、アズテック・コネクトのスマートコントラクトは「完全にイミュータブル」な状態となっており、もはやアップグレードも一時停止もできないと指摘した。

そして、こう警鐘を鳴らしている。

「今回の事件は、放棄されたDeFiコントラクトであっても、何年も後に標的になり得ることを改めて示している」