Web3に関係したセキュリティインシデントによる損失額総額は、暗号資産相場が上向きで数々のDeFiが生まれた2021年に1兆4,000億円を超え、2023年上半期だけでも185件、約1,300億円にものぼります。

プロトコルの多くはローンチ前にテストネットでのチェックや、監査会社によるコード監査が行われますが、必ずしも全てのバグを排除できるとは限りません。そのため、ローンチ後にバグが見つかり、それが不幸な結果に結びつくことも起きています。しかし、全てのハッカーが悪意を持っているわけではありません。

ホワイトハッカーの手段

Web3、特に DeFi 領域では扱う金額が大きいことからハッキングの対象になりやすいです。様々なハッカーがいる中で、サイバー攻撃被害の未然防止につながる「ホワイトハッカー」と呼ばれる人たちはどのように活動しているのでしょうか。以下はホワイトハッカーの手段の一例です。

■バグバウンティ（バグ報奨金）プラットフォームを利用する

ImmuneFi（イミューンファイ）などプロジェクト側が報奨金を出し、バグを発見したハッカーに報酬を支払うプラットフォームを利用する方法です。ImmuneFiではこれまで約3,700億円の被害を未然に防ぎ、100億円以上の報奨金が支払われています。

■悪意のあるハッカーのフロントランニングをする

セキュリティのフロントランニングを請け負って活動する方法です。企業や個人としてメモリープールを監視し、悪意のあるハッカーがハッキングトランザクションを送った際に、そのトランザクションを先回りすることでハッキングを未然に防いでいます。

■実際にプロトコルのハッキングを行う

ハッカーによっては実際にプロトコルのハッキングを行い、手元にプロトコルのお金を移動させた後に、報奨金の交渉を行う人もいます。

スマートコントラクトの不備で債券トークンが実質、無償発行に

筆者も過去にホワイトハックで500万円を報酬として受け取ったことがあります。実際に経験したのは以下のような事例でした。

オープンベータの段階で約30億円が入金されている DEX でした。 ステーブルコイン などの流動性を追加することで利回りのつく債券トークンを得ることができます。

この場合は$DAI（ダイ）を預け入れて$CLCDAI（シーエルシーダイ）という債券トークンを得ています。$CLCDAIには利回りが内包されるため、$DAIと1対1の交換ではありません。$CLCDAIをプロトコルに返却することで、元々預け入れたステーブルコインなどプラスで利回りを引き出すことが可能となっています。

スマートコントラクト の処理としては、先にお金の預け入れを確認してから、債券トークンを渡す処理にしないといけません。しかしこのスマートコントラクトでは、預け入れを確認する前に債券トークンが発行されてしまう状態になっていました。つまり、直接スマートコントラクトを操作することで、十分な残高を持っていないにも関わらず、債券トークンを得ることに成功してしまいます。その後、プロトコルでの出金を試みると、問題なく出金できてしまいました。

実質的に債券トークンを無償で手に入れることができるため、それを用いてDEX内の流動性追加がされているステーブルトークンなどを全て引き出せてしまう致命的なバグでした。監査を受けていたとしてもこのようなバグが紛れ込んでいることがあります。

この時、プロトコルには約30億円が預けられており、そのアセット（金融商品）がリスクに晒されていたことになります。この後、チームに連絡を行い、該当トランザクションを報告することで、バグバウンティとして500万円を受け取ることができました。

これは一例ですが、スマートコントラクトの脆弱性を探して資金の漏出を防ぎ、報奨金を得ることは、DeFi時代の一つの稼ぎ方になっています。

制作：株式会社Kudasai

Web3ポケットキャンパスはスマホアプリでも学習ができます。アプリではnote版にはない「クイズ」と「学習履歴」の機能もあり、よりWeb3学習を楽しく続けられます。ぜひご利用ください。

▼スマホアプリインストールはこちら