被害が相次ぐBSCで今何が起きているのか?DeFiプロジェクトの脆弱性を考察

今回は、BSCで起きている攻撃被害の原因および背景とDeFiプロジェクトの脆弱性について、信玄 氏(@shingen_crypto)に解説していただきました。

目次

  1. 2021年5月に発生したBSCでの攻撃被害
  2. 脆弱性が存在し、攻撃される原因と背景
  3. DeFiプロジェクトに対する監査
  4. まとめ

DeFiでは頻繁に攻撃被害や詐欺被害が発生するものですが、それでもここ最近のBSC(Binance Smart Chain)における被害発生ペースと金額は異常と言えます。

これは偶然が重なっただけなのでしょうか?それとも明らかな原因があるのでしょうか?今回の記事では攻撃や詐欺による被害が発生しやすい状況を考察します。

直近で発生した被害状況

この一ヶ月はBSCにとってまさに受難の月と言えます。下記にもある通り、一ヶ月の間に大手のDeFiプロジェクトで次々に脆弱性を突かれて数十億円規模の攻撃被害が起きているのです。

勿論これが全てではなく、実際には大小合わせればもっと沢山の被害が起きている可能性は高く、それに加えてトークンセールをした運営が堂々と持ち逃げをするといった事件までもが起きています。他にも日常的に発生しているRug Pullと呼ばれる鯨や運営による売り仕掛けも含めれば、本当に凄まじい状況であると言えます。

2021年5月に発生したBSCでの攻撃被害

対象プロジェクト名 被害額 日付 監査対応
Spartan Protocol $30,500,000 5/2/2021 Certik
Value DeFi $10,000,000 5/5/2021 監査無し
Value DeFi $11,000,000 5/7/2021 監査無し
XToken $24,000,000 5/12/2021 PeckShield
bEarn $18,000,000 5/17/2021 監査無し
PancakeBunny $45,000,000 5/19/2021 Haechi
Venus Protocol $100,000,000 5/19/2021 Certik
Autoshark $745,000 5/24/2021 Techrate
Merlin Labs $680,000 5/26/2021 Hacken
Burger Swap $72,000,000 5/28/2021 Beosin
Belt Finance $62,000,000 5/30/2021 Sooho,Haechi

最近急速に攻撃が加速したきっかけですが、実はBSCではBTCやETHを始めとして多くの資産がBinanceがカストディとなるIOU的な形態を取っています。よって攻撃者が大量の資産を他チェーンへ持ち出すにはBinance BridgeというサービスもしくはBinance本家を利用する必要がありました。これはどちらも本人確認無しで利用可能ですがその場合1日2BTCまでという制限があります。もしくは本人確認したBinanceのアカウントを使うという手もありますが、こちらは別の問題が出るでしょう。

ところが最近、チェーン跨ぎで資産を交換出来るプロジェクトが登場しました。こちらを利用するとBinance Bridge等の制限にかかる事無く大量の資産を他チェーンへ逃がす事が出来てしまう為、ここ最近の攻撃では殆どここから資産が逃されています。今まで見逃されていた脆弱性が連続で突かれている背景にはこうした事情が関係している可能性もあるのではないでしょうか。

脆弱性が存在し、攻撃される原因と背景

これは複合的な要因があり、相場の悪化や注目状況の変化等もあると思いますが、一番大きいのは殆どのプロジェクトは既存オリジナルからのコピー製品だという事でしょう。

ブロックチェーンやDeFiの世界では透明性を筆頭に様々な理由から、OSS(オープンソースソフトウェア)という形式で製品の構造を公開しているところが殆どです。よってビットコインもイーサリアムも、そしてUniswapであっても誰でも簡単にコピーが可能という事になります。

何故OSSとして公開しているかと言えば、この製品にはバックドアがなく、脆弱性の検証や改善、組み込みをより多くの人が参加出来るというメリットが大きく勝っているからです。反対にもしもこれらがOSSでなかったら安心して利用できずこれ程の拡大はしなかったでしょう。

それであれば尚更堅牢なUniswapのコピーに脆弱性が産まれて攻撃被害が発生するのでしょうか?その理由は主にコピー先での改変、改造が原因となる事が多いです。他にも独自トークンを強力に組み込む事によるインセンティブ設計があるケースが多く、この独自トークン発行機能に問題がある事が脆弱性というケースも多くなっています。更に、Yield Aggregatorとも言われる様な複数のDeFiプロジェクトを跨って自動で複利運用をする機能を提供するところも多い為、リスクにリスクを重ねる事で高い金利を提供する傾向も強いです。

これらの目的は、より高利率でファーミングを提供して、より多くのユーザーをプロジェクトへ誘引し、発行する独自トークンを購入、保有させ出来るだけ長く資産を引き止める事にあります。

敢えて厳しい言い方をするならば、被害にあった多くのプロジェクト提供側のやっている事は下記の様になります。

  • 既存プロジェクトの製品をコピーしてきて
  • リリース初期から独自トークンや改変を加え、高いリスクを取る事で高利率を実現し
  • セキュリティに関しては大幅な妥協を行ったまま運営を継続し
  • 最低限の労力と資金で、高利率と値上がりに釣られたユーザーから短期的に資金を集めている
※コピー系プロジェクトでも独自の強みとソリューションを提供して、成功している事例もありますので上記はあくまでも悪い例という事です。

では反対に、オリジナル側の大手プロジェクトはどういったことをしてるかというと、下記の通りです。

  • 個人開発やVCからの資金調達を得たりしながら自分達でプロジェクトを構築し
  • 独自トークンの発行、組み込みを行わずにβ版の利用者を募り、テストをしながらコミュニティ拡大を行い
  • 十分なユーザーを獲得し、テストと監査を終えてから、出来るだけプロジェクトに影響を与えない形でトークンを発行する
※UniswapやCompoundはプロジェクト開始からトークン発行までに2年近くの期間が空いており、その他のプロジェクトでも数ヶ月はトークン無しにテスト運用期間を持つ方が一般的です

両者を比較した時の大きな違いとして脆弱性を産みやすいのはマネタイズの要となる独自トークンの発行タイミングと組み込み方の違いです。何よりオリジナル側は長い時間と手間をかけ開発したものですから、長期的成功をする為にはより確実な方法を取ります。しょうもない失敗で利用者の資産を容易に失わせる様であれば信用を失ってしまうのです。

また当然なのですがオリジナル側よりコピー側の方が技術的な理解にも劣る上に新たな変更を加える為、余計に脆弱性を産みやすい状況が出来ています。

DeFiプロジェクトに対する監査

今回攻撃されたものはセキュリティの監査を受けたところが大半です。にもかかわらず脆弱性を突かれて攻撃被害が起きているのは何故でしょうか?これには幾つか理由がありますが、基本的にコピー系DeFiプロジェクトに関してはこうした監査があまり機能していない事は公然の認識として持っておくべきでしょう。

理由を簡単にまとめると下記の様な傾向があります。

  • DeFiの監査を行う企業且つ高い技術力を持つところは非常に稀少且つリソースが限られている為に、そもそも安直なコピー系の監査依頼を受ける事は殆どない
  • ”監査済み”というラベルを獲得する為に監査を受けたいところと、それを提供する側の利害が一致してしまうケースが多い
  • せっかく監査を受けたとしても、その後に変更を加えた事で新たな脆弱性が産まれてしまう事が非常に多く、結局は監査より運営側の技術力に依存してしまう
  • オリジナルと比較した場合、高いインセンティブを生み出す為に独自トークンを奥深く組み込まれている事がより高い脆弱性を産んでいる事で、より難易度が上がっている

もしも単純にオリジナルをコピーしただけならばオリジナル同様に脆弱性が無い筈ですが、それではユーザーと流動性を獲得する事は困難であり、運営側のマネタイズにも繋がりません。言い換えればマネタイズとインセンティブを産む為に新たな脆弱性が発生しているとも言えます。

まとめ

ここまでの概要を理解すると気付く方も出てくると思いますが、大半のコピーされたDeFiプロジェクトは有用なサービスを提供するという目的よりも先に、実質的なトークンセールを行う目的が先に来ています。

一見するとファーミングやDEXを提供して、そこにおまけでトークンが付いている様にも見えるのですが、実際には色々な事を犠牲にして発行した独自トークンに対して価格と需要と流動性を産む事をより高い優先度にしている傾向が非常に強い為、これは形を変えたトークンセールを行っていると言われても過言ではないでしょう。

結果的に今回例として挙げたBSCでは似たようなタイプのプロジェクトが乱立しており、これもユーザーが馴染み易く高いAPY(Annual Percentage Yield)を演出しやすいタイプに傾倒する為にこうした現象が起きているのではないでしょうか。そして何より、利用者の資産が失われたとしても運営側には直接的な損失も責任も問う事が出来ないのが多くのDeFiが持つ性質であり、そのハイリスクさ故に有り得ない高金利が実現しているとも言えます。

こうした状況に対してどこなら安全だとはとても言えないのですが、少なくとも”独自トークンを組み合わせたペアの流動性提供で高い金利を提供する”パターンは一番リスクが高いと言えるでしょう。異常な高金利は最大でマイナス100%までの振れ幅があるという認識で臨むべきであり、金利の高さはリスクの高さに概ね比例すると言う認識も持った方が良いです。

The following two tabs change content below.
信玄

信玄

本業の傍ら趣味でブロックチェーン関連のリサーチを行っている。 DeFiを筆頭にDID、NFT、Layer2、Fiat Gateway、Contract Wallet等、幅広く情報を追っている。Twitter:@shingen_crypto