放置されたスマートコントラクトの罠 アステックでまた約3.5億円が消えた

すでに役目を終えたはずのアステックの旧インフラが、またしてもハッカーの餌食となった。数日前に起きたばかりの被害に続く二度目の攻撃であり、放置されたスマートコントラクトの安全性をめぐる懸念が一段と高まっている。

サイバーセキュリティ企業スローミストの共同創業者であるコス氏によれば、アステックのプライベート・ロールアップ・ブリッジは木曜日、1158イーサ（ETH）、15万ダイ（DAI）、0.46レンBTC（RENBTC）を抜き取られた。被害総額は約215万ドル、日本円にして約3億4661万円にのぼる。

コス氏の初期分析によると、攻撃者は偽のロールアップ証明を使い、プロトコルをだました。あたかも正当な処理であるかのように見せかけ、準備金から攻撃者自身のアドレスへ資産を放出させたという。

アステック・ラボも今回の被害を認めている。同社によれば、2022年に廃止された決済プロダクトの変更不能なスマートコントラクトから、約200万ドル、約3億2243万円が移動した。ただし、アステック・ラボはこのコントラクトについて管理者キーを保有しておらず、取引を停止する権限もなかったという。

同社はまた、今回の事案は日曜日にアステック・コネクトのスマートコントラクトから約210万ドル、約3億3855万円が盗まれた事件とは別件だと説明している。アステック・コネクトはプライバシー重視のロールアップで、2023年3月に廃止されていた。チームは入金を停止し、次世代のアステック・ネットワークに開発リソースを移していた。

コインテレグラフは脆弱性の詳細についてアステック・ラボに追加取材を行ったが、記事公開時点では回答を得られていない。

Etherscan record of the Thursday exploit transaction. Source: Etherscan

関連記事: AI普及でDeFiハッキング再燃、暗号資産業界に「脆弱性アポカリプス」到来か

古いスマートコントラクトが新たな火種に

アステックで相次いだ二つの被害に加え、6月上旬には分散型取引所レイディウムでも約130万ドル、約2億958万円が盗まれた。いずれも、すでに使われなくなったインフラに残された脆弱性が突かれた格好だ。

リスク分析プラットフォームのブロックフルは火曜日、Xへの投稿でこう警鐘を鳴らした。

「古いコントラクトは、ハッカーなら誰でも狙えるバグ報奨金のような状態で残り続けている。プロトコル側が保守責任から手を引けば、それらはさらに魅力的な標的になり得る」

アステック・コネクトはすでに廃止されていたにもかかわらず、最初の攻撃では攻撃者が210万ドル超を引き出した。スローミストの事後分析によれば、変更不能なコントラクト内に、旧ユーザーの資産がまだ残されていたことが被害につながった。

First Aztec exploit, attack overview. Source: SlowMist

スローミストは、廃止済みのスマートコントラクトに旧来の資産が残っているプロトコルに対し、秩序立った資産移行を進めるよう助言している。そうしなければ、サイバー攻撃にさらされ続けるリスクをなくすことはできない、というわけだ。