Sui上で分散型金融（DeFi）を展開するAftermath Financeが4月29日、無期限先物機能「perps」でハッキング被害を受け、約114万ドルのUSDCが流出しました。円換算では約1億8,000万円にあたります。被害はperps機能に限定され、スワップやステーキングなど他の主要機能への影響は確認されていません。Mysten LabsとSui財団の支援を受け、被害者への全額補填を進める方針です。

Aftermath Financeは同日、異常を確認後にプロトコル全体を一時停止しました。調査と修正にはBlockaid、zeroShadow、Seal、OtterSecなどのセキュリティ企業が加わっています。再稼働の時期は明らかにしていません。

手数料計算の不具合を悪用し、36分で114万ドル流出

今回悪用されたのは、perps機能のビルダーコードにあった手数料計算の不具合です。手数料を本来ありえない「マイナス」に設定できる状態になっており、攻撃者はその穴を使って実体のない担保を作り出し、USDCを引き出しました。

流出は11件の取引で進み、所要時間は36分以内だったとされています。DeFiでは価格操作や秘密鍵流出が注目されがちですが、今回は会計処理に近いロジックの欠陥が、そのまま資金流出に直結した形です。スマートコントラクトの一部に小さな計算ミスがあるだけで、預かり資産が短時間で失われる構造が改めて示されました。

被害範囲がperpsプロトコル単体にとどまった点は、不幸中の幸いです。Aftermath Financeの預かり資産総額（TVL）は約664万ドルで、流出額114万ドルは無視できない規模です。一方で、サービス全体が同時に侵害されたわけではなく、主要機能の安全性は維持されたと整理されています。

もっとも、Suiエコシステムでは直近でもVoloやScallopを含むDeFi関連の被害が相次いでおり、セキュリティ面の緊張は続いております。今後は、機能追加のスピードを維持しながら、利用者資産を守るための安全性をいかに高めていくかが重要な課題となりそうです。

sui最大手のレンディング「Scallop」で約15万SUI流出｜該当コントラクト凍結し全額補償へ

参考元：cryptonews