リエントラント攻撃の脆弱性未修正、FutureSwapが連続攻撃を受けて7.4万ドルの損失

Arbitrum上に展開されたFutureSwapプロトコルは、わずか4日間で2回のハッキング被害に遭いました。ブロックチェーンセキュリティ機関BlockSecの分析によると、1月10日に最初の攻撃を受けた後、1月11日に再び標的となり、約7.4万ドルの損失が発生しました。さらに懸念されるのは、2回の攻撃ともに同じリ入れ（リエントリー）脆弱性を悪用していたことで、最初の攻撃後の対策が根本的な問題を完全に解決していなかった可能性を示しています。

攻撃手法の分析

脆弱性の原理

リ入れ脆弱性はDeFiプロトコルにおいて最も一般的かつ危険なセキュリティリスクです。FutureSwapのこの事件では、脆弱性はリ入れ関数0x5308fcb1に存在しました。攻撃者はこの入口を通じて、プロトコルのやり取り中のロジックの欠陥を利用しました。

具体的な攻撃手順

• リ入れ関数0x5308fcb1を通じて例外呼び出しをトリガー
• コントラクトの実行中に関数を繰り返し呼び出し、残高チェックを回避
• 超過してLPトークン（流動性提供者トークン）を鋳造
• クールダウン期間終了後に超過抵当資産を引き出し
• 利益を獲得

この攻撃の鍵は時間差にあります。攻撃者はクールダウン期間内に虚偽のLPポジションを積み重ね、その後システムの凍結解除後に合法的に資産を引き出します。一見普通の取引のように見えますが、実際には得られる資産の量は本来の額を大きく超えています。

事件の影響評価

FutureSwapへの脅威

連続攻撃は、このプロトコルのセキュリティ修復に問題がある可能性を示唆しています。最初の攻撃後、通常はプロジェクト側が緊急監査やパッチの更新を行いますが、2回目の攻撃に成功したことは次のことを示しています。

• 最初の修復が不十分だった可能性
• 同じタイプの他の脆弱性が存在する可能性
• クールダウン機構自体の再設計が必要かもしれない

ユーザ資金のリスク

今回の損失は「わずか」7.4万ドルですが、安全性に疑問のあるプロトコルにとっては、ユーザーの信頼に大きな打撃となります。既に資金を預けているユーザーは、直接的な損失だけでなく、流動性の低下リスクにも直面しています。

業界への示唆

個人的な見解として、この事件はDeFiエコシステムにおけるいくつかの現実的な問題を浮き彫りにしています。

一つはセキュリティ監査の遅れです。多くのプロトコルはリリース前に監査を受けていますが、ハッカーはしばしば監査の見落としを突いてきます。リ入れ脆弱性は新しい概念ではありませんが、それでも攻撃者の「常用武器」となっています。

二つ目は修復速度へのプレッシャーです。プロジェクト側は脆弱性を発見した後、極めて短時間で修正、監査、展開を完了させる必要があり、この高圧環境下ではミスが起きやすいです。

三つ目はユーザーの自己責任です。監査済みのプロトコルであってもリスクは存在し、ユーザーは自らの資金に責任を持つ必要があります。

まとめ

FutureSwapの連続攻撃事件は、リ入れ脆弱性が依然としてDeFiプロトコルにとって重大な脅威であることを示しています。これはこのプロトコルだけの問題ではなく、エコシステム全体が警戒すべき課題です。ユーザーはこのプロトコルの安全性を再評価し、利用継続の是非を検討すべきです。また、業界全体としては、より厳格なセキュリティ基準と迅速な緊急対応体制の構築が求められます。今後は、このプロトコルがより徹底したセキュリティアップグレードを行うか、他の被害者に対する補償が行われるかに注目が集まっています。