Flow 偽トークンの脆弱性が明らかに！5時間で40%暴落、3,900万ドルの損失

Flow 基金会は12月27日に発生したプロトコルレベルの脆弱性により、390万ドルの損失を報告しました。攻撃者はCadenceの欠陥を利用して資産を盗むのではなく複製し、検証者は6時間以内にネットワークを一時停止しました。FLOWは5時間で40％急落し、2021年の40ドルから0.075ドルまで下落しました。FlowはDapper Labsによって創設され、a16zから7.25億ドルの投資を受けていました。

プロトコル層のトークン複製の技術的脆弱性解析

Flow基金会は火曜日に技術分析レポートを公開し、12月27日に発生したプロトコルレベルの脆弱性事件の詳細を説明しました。攻撃者はFlowのCadence実行環境の脆弱性を利用し、特定の資産を複製できるようにし、供給管理を回避し、既存のユーザ残高にアクセスまたは消費することなく資産を複製しました。

この攻撃手法はブロックチェーンのセキュリティ史上非常に稀です。従来のハッカー攻撃は秘密鍵の窃盗やスマートコントラクトの脆弱性を利用して資産を奪うものでしたが、Flowの脆弱性は攻撃者が空中から「トークンを複製」できることを意味し、まるでコピー機で紙幣を複製するようなものです。資産を複製したため、アカウントから資金を盗むことはなく、既存のユーザ残高には影響しませんでした。この特性により、脆弱性は初期段階では気づきにくく、ユーザは自分のウォレット残高が減少していることに気づきません。

最初の悪意のある取引が行われた後の6時間以内に、検証者は調整してネットワークを読み取り専用モードに切り替え、出口経路を遮断し、さらなるデータ複製を防止しました。同時に調査を進めました。

2日後、運営は「隔離回復」計画に基づき復旧を行い、合法的な取引記録を保持し、管理層の承認を得た手順で偽造資産の回収と永久破棄を実施しました。攻撃者はチェーン上で大量の偽造トークンを生成しましたが、Flowは大部分の偽造トークンは清算前に制御または凍結されたと述べています。予防措置として、偽造トークンとやり取りした少数のアカウントは一時的にアクセス制限され、復旧期間中および復旧後も99％以上のアカウントは完全なアクセス権を維持しました。

Flow脆弱性事件のタイムラインと対応プロセス

12月27日最初の攻撃：ハッカーがCadenceの脆弱性を利用しトークンの複製を開始

6時間以内にネットワーク停止：検証者が調整し読み取り専用モードに切り替え、攻撃経路を遮断

取引所の緊急凍結：パートナーが偽造資産の大部分が売却される前に凍結

2日後の隔離復旧：合法的な取引を保持し、偽造資産を破棄、99％のアカウントは影響を受けず

40ドルから0.075ドルまでの長い下落

（出典：CoinGecko）

NFTプロジェクトCryptoKittiesの創設者Dapper Labsは2019年9月にFlowの開発を発表しました。これは新しいレイヤー1ブロックチェーンで、ゲームやデジタルコレクションなどの消費者向けアプリケーションのスケーラビリティ課題を解決することを目的としています。NBA Top Shot（公式認証のNBA映像ハイライトを取引するNFTプラットフォーム）の初期成功により、Flowブロックチェーンは2020年と2021年に主流の注目を集めました。

この背景のもと、CoinGeckoのデータによると、2021年にこのネットワークのFLOWトークンは40ドル以上に急騰しました。Flowの成長は2022年まで続き、Andreessen Horowitz (a16z)やUnion Square Venturesなどの投資家から約7.25億ドルを調達し、エコシステムの発展を支援しました。この一流機関の後援により、Flowは一時NFTインフラの王者と見なされました。

NFT市場がその後数年間で冷え込むにつれ、FLOWトークンも成長の勢いを失い、市場価値は上位300暗号通貨から外れました。12月27日のハッカー攻撃後、FLOWの価格は下落速度を増し、5時間で約40％下落しました。1月2日には一時0.075ドルの安値をつけ、その後反発を始めました。Cointelegraphのデータによると、執筆時点での取引価格は約0.10ドルで、過去24時間で約16％上昇しています。

40ドルから0.075ドルまでの下落率は99.8％超であり、この崩壊は暗号市場でも極端なものです。Flowの衰退はNFTインフラ全体の困難を反映しており、投機熱が冷めると、実用性の乏しいプロジェクトは市場から迅速に見捨てられました。

脆弱性修正と今後のセキュリティ強化策

基金会は、基盤となる脆弱性を修正し、より厳格な実行時検査を追加し、回帰テストを拡張して類似の攻撃を防止したと述べています。また、証拠収集パートナーや法執行機関と協力し、監視と脆弱性報奨金プログラムの強化を計画しており、より広範なセキュリティ強化策の一環としています。

この包括的なセキュリティ対応は必要不可欠ですが、同時にFlowの初期設計の欠陥も露呈しました。Flowのコアスマートコントラクト言語であるCadenceの実行環境には資産複製を許す脆弱性が存在し、コード監査とセキュリティテストに盲点があったことを示しています。数億ドルの取引を処理してきたブロックチェーンにとって、こうしたプロトコルレベルの脆弱性の出現は非常に稀で深刻です。

脆弱性報奨金プログラムの強化は前向きな兆候ですが、投資家の信頼は損なわれています。Flowは継続的なセキュリティ監査、透明性のある事故報告、ゼロ脆弱性記録を通じて信頼を再構築する必要があります。競争の激しいLayer-1市場において、一度の重大なセキュリティ事故は致命的となる可能性があります。