今回は、BSCで起きている攻撃被害の原因および背景とDeFiプロジェクトの脆弱性について、信玄 氏（@shingen_crypto）に解説していただきました。
目次
DeFiでは頻繁に攻撃被害や詐欺被害が発生するものですが、それでもここ最近のBSC（Binance Smart Chain）における被害発生ペースと金額は異常と言えます。
これは偶然が重なっただけなのでしょうか？それとも明らかな原因があるのでしょうか？今回の記事では攻撃や詐欺による被害が発生しやすい状況を考察します。
直近で発生した被害状況
この一ヶ月はBSCにとってまさに受難の月と言えます。下記にもある通り、一ヶ月の間に大手のDeFiプロジェクトで次々に脆弱性を突かれて数十億円規模の攻撃被害が起きているのです。
勿論これが全てではなく、実際には大小合わせればもっと沢山の被害が起きている可能性は高く、それに加えてトークンセールをした運営が堂々と持ち逃げをするといった事件までもが起きています。他にも日常的に発生しているRug Pullと呼ばれる鯨や運営による売り仕掛けも含めれば、本当に凄まじい状況であると言えます。
2021年5月に発生したBSCでの攻撃被害
| 対象プロジェクト名 | 被害額 | 日付 | 監査対応 |
| Spartan Protocol | $30,500,000 | 5/2/2021 | Certik |
| Value DeFi | $10,000,000 | 5/5/2021 | 監査無し |
| Value DeFi | $11,000,000 | 5/7/2021 | 監査無し |
| XToken | $24,000,000 | 5/12/2021 | PeckShield |
| bEarn | $18,000,000 | 5/17/2021 | 監査無し |
| PancakeBunny | $45,000,000 | 5/19/2021 | Haechi |
| Venus Protocol | $100,000,000 | 5/19/2021 | Certik |
| Autoshark | $745,000 | 5/24/2021 | Techrate |
| Merlin Labs | $680,000 | 5/26/2021 | Hacken |
| Burger Swap | $72,000,000 | 5/28/2021 | Beosin |
| Belt Finance | $62,000,000 | 5/30/2021 | Sooho,Haechi |
最近急速に攻撃が加速したきっかけですが、実はBSCではBTCやETHを始めとして多くの資産がBinanceがカストディとなるIOU的な形態を取っています。よって攻撃者が大量の資産を他チェーンへ持ち出すにはBinance BridgeというサービスもしくはBinance本家を利用する必要がありました。これはどちらも本人確認無しで利用可能ですがその場合1日2BTCまでという制限があります。もしくは本人確認したBinanceのアカウントを使うという手もありますが、こちらは別の問題が出るでしょう。
ところが最近、チェーン跨ぎで資産を交換出来るプロジェクトが登場しました。こちらを利用するとBinance Bridge等の制限にかかる事無く大量の資産を他チェーンへ逃がす事が出来てしまう為、ここ最近の攻撃では殆どここから資産が逃されています。今まで見逃されていた脆弱性が連続で突かれている背景にはこうした事情が関係している可能性もあるのではないでしょうか。
脆弱性が存在し、攻撃される原因と背景
これは複合的な要因があり、相場の悪化や注目状況の変化等もあると思いますが、一番大きいのは殆どのプロジェクトは既存オリジナルからのコピー製品だという事でしょう。
ブロックチェーンやDeFiの世界では透明性を筆頭に様々な理由から、OSS（オープンソースソフトウェア）という形式で製品の構造を公開しているところが殆どです。よってビットコインもイーサリアムも、そしてUniswapであっても誰でも簡単にコピーが可能という事になります。
何故OSSとして公開しているかと言えば、この製品にはバックドアがなく、脆弱性の検証や改善、組み込みをより多くの人が参加出来るというメリットが大きく勝っているからです。反対にもしもこれらがOSSでなかったら安心して利用できずこれ程の拡大はしなかったでしょう。
それであれば尚更堅牢なUniswapのコピーに脆弱性が産まれて攻撃被害が発生するのでしょうか？その理由は主にコピー先での改変、改造が原因となる事が多いです。他にも独自トークンを強力に組み込む事によるインセンティブ設計があるケースが多く、この独自トークン発行機能に問題がある事が脆弱性というケースも多くなっています。更に、Yield Aggregatorとも言われる様な複数のDeFiプロジェクトを跨って自動で複利運用をする機能を提供するところも多い為、リスクにリスクを重ねる事で高い金利を提供する傾向も強いです。
これらの目的は、より高利率でファーミングを提供して、より多くのユーザーをプロジェクトへ誘引し、発行する独自トークンを購入、保有させ出来るだけ長く資産を引き止める事にあります。
敢えて厳しい言い方をするならば、被害にあった多くのプロジェクト提供側のやっている事は下記の様になります。
- 既存プロジェクトの製品をコピーしてきて
- リリース初期から独自トークンや改変を加え、高いリスクを取る事で高利率を実現し
- セキュリティに関しては大幅な妥協を行ったまま運営を継続し
- 最低限の労力と資金で、高利率と値上がりに釣られたユーザーから短期的に資金を集めている
では反対に、オリジナル側の大手プロジェクトはどういったことをしてるかというと、下記の通りです。
- 個人開発やVCからの資金調達を得たりしながら自分達でプロジェクトを構築し
- 独自トークンの発行、組み込みを行わずにβ版の利用者を募り、テストをしながらコミュニティ拡大を行い
- 十分なユーザーを獲得し、テストと監査を終えてから、出来るだけプロジェクトに影響を与えない形でトークンを発行する
両者を比較した時の大きな違いとして脆弱性を産みやすいのはマネタイズの要となる独自トークンの発行タイミングと組み込み方の違いです。何よりオリジナル側は長い時間と手間をかけ開発したものですから、長期的成功をする為にはより確実な方法を取ります。しょうもない失敗で利用者の資産を容易に失わせる様であれば信用を失ってしまうのです。
また当然なのですがオリジナル側よりコピー側の方が技術的な理解にも劣る上に新たな変更を加える為、余計に脆弱性を産みやすい状況が出来ています。
DeFiプロジェクトに対する監査
今回攻撃されたものはセキュリティの監査を受けたところが大半です。にもかかわらず脆弱性を突かれて攻撃被害が起きているのは何故でしょうか？これには幾つか理由がありますが、基本的にコピー系DeFiプロジェクトに関してはこうした監査があまり機能していない事は公然の認識として持っておくべきでしょう。
理由を簡単にまとめると下記の様な傾向があります。
- DeFiの監査を行う企業且つ高い技術力を持つところは非常に稀少且つリソースが限られている為に、そもそも安直なコピー系の監査依頼を受ける事は殆どない
- ”監査済み”というラベルを獲得する為に監査を受けたいところと、それを提供する側の利害が一致してしまうケースが多い
- せっかく監査を受けたとしても、その後に変更を加えた事で新たな脆弱性が産まれてしまう事が非常に多く、結局は監査より運営側の技術力に依存してしまう
- オリジナルと比較した場合、高いインセンティブを生み出す為に独自トークンを奥深く組み込まれている事がより高い脆弱性を産んでいる事で、より難易度が上がっている
もしも単純にオリジナルをコピーしただけならばオリジナル同様に脆弱性が無い筈ですが、それではユーザーと流動性を獲得する事は困難であり、運営側のマネタイズにも繋がりません。言い換えればマネタイズとインセンティブを産む為に新たな脆弱性が発生しているとも言えます。
まとめ
ここまでの概要を理解すると気付く方も出てくると思いますが、大半のコピーされたDeFiプロジェクトは有用なサービスを提供するという目的よりも先に、実質的なトークンセールを行う目的が先に来ています。
一見するとファーミングやDEXを提供して、そこにおまけでトークンが付いている様にも見えるのですが、実際には色々な事を犠牲にして発行した独自トークンに対して価格と需要と流動性を産む事をより高い優先度にしている傾向が非常に強い為、これは形を変えたトークンセールを行っていると言われても過言ではないでしょう。
結果的に今回例として挙げたBSCでは似たようなタイプのプロジェクトが乱立しており、これもユーザーが馴染み易く高いAPY（Annual Percentage Yield）を演出しやすいタイプに傾倒する為にこうした現象が起きているのではないでしょうか。そして何より、利用者の資産が失われたとしても運営側には直接的な損失も責任も問う事が出来ないのが多くのDeFiが持つ性質であり、そのハイリスクさ故に有り得ない高金利が実現しているとも言えます。
こうした状況に対してどこなら安全だとはとても言えないのですが、少なくとも”独自トークンを組み合わせたペアの流動性提供で高い金利を提供する”パターンは一番リスクが高いと言えるでしょう。異常な高金利は最大でマイナス100%までの振れ幅があるという認識で臨むべきであり、金利の高さはリスクの高さに概ね比例すると言う認識も持った方が良いです。
信玄
最新記事 by 信玄 (全て見る)
- 【特集コラム】多彩なNFTの種類や用途についての紹介 - 2021年11月25日
- 被害が相次ぐBSCで今何が起きているのか？DeFiプロジェクトの脆弱性を考察 - 2021年6月2日
- 暗号資産におけるカウンターパーティリスクの紹介 - 2021年3月4日
- 【特集コラム】ブロックチェーンのオラクルとは - 2020年12月3日
- 【特集コラム】ブロックチェーンゲームとNFT資産の現況 - 2020年11月2日
おすすめの仮想通貨取引所は？
利用者からの評判が高い仮想通貨取引所や大手のサービスを厳選ピックアップしご紹介しています。
コインチェック
多銘柄の仮想通貨を取り扱うマネックスグループ運営の仮想通貨取引所
GMOコイン
全9種類のテクニカル指標、6つの注文方法が利用できるアプリを提供する仮想通貨取引所！
DMM Bitcoin
取り扱い銘柄数に強み！多数のアルトコインでレバレッジ取引可能な暗号資産取引所
