Raydium のレガシー AMM V3 プログラムは、攻撃者が廃止済みの Solana プールにおける流動性提供者（LP）のミント検証の不具合を悪用したことで、約 134 万ドルが不正利用された。Raydium チームは、この問題は 2021 年に段階的に廃止された古い AMM V3 コントラクトに限定されており、プラットフォームの現在の流動性プログラムやアクティブユーザーには影響しないと述べた。悪用により、レガシー・プログラムに紐づく 5 つの廃止済み流動性プールが流出した。根本原因は、無関係に完結した検証不具合で、LP ミントのチェックをめぐるものであり、無効または偽の LP トークン条件によって攻撃者がプールのロジックを操作できるようになっていたことが判明した。この事件は、分散型取引所（DEX）インフラの失敗が増え続けている流れに加わり、DeFi プロトコルが引退したコントラクトや残存流動性をどのように管理しているのかという疑問を投げかける。
攻撃者が 5 つの廃止済みプールで LP ミント検証の不具合を悪用
Raydium のコア開発貢献者 Infra によれば、根本原因は LP ミントのチェックに関わる自己完結型の検証不具合だった。攻撃者は無効または偽の LP トークン条件を用いることで、プールのロジックを操作し、もはや重要なユーザーリスクを負っていなかったはずのプールから資金を引き出せるようにした。悪用により、レガシー・プログラムに紐づく 5 つの廃止済み流動性プールが流出した。
影響を受けた AMM V3 プログラムはそれより数年前に置き換えられていたが、残っていたプールには、それを悪用して利益を得るのに十分な資産があった。攻撃者は Raydium の現在の製品を侵害する必要はなかった。代わりに、より古い流動性設計における限定的な検証の弱点が狙われた。
Raydium が影響を受けた損失に対するトレジャリー補償を約束
Raydium は、自社のトレジャリーから影響を受けた損失を補償すると述べた。チームは、現在の Raydium ユーザーには影響がなく、Solana の分散型金融（DeFi）全体での即時の連鎖（伝播）リスクが抑えられるとした。今回の対応が重要なのは、この悪用が、現在のユーザー向けプールではなく旧式のインフラに関するものだったためだ。ただし損失は、引退したコントラクト、残存流動性、そして長期にわたるスマートコントラクトへのエクスポージャーを、分散型プロトコルがどう管理するのかという問いを依然として引き起こしている。
ブロックチェーンのセキュリティ企業は、排出（ドレイン）後における攻撃者の動きを追跡し、資金は報道によれば KuCoin、Solana-to-Ethereum ブリッジ、Tornado Cash、FixedFloat を経由してルーティングされたという。こうしたマネーロンダリングの経路は、比較的小さな DeFi の悪用であっても、資産が中央集権的な取引所、ブリッジ、プライバシーのツールをまたいだ瞬間に、回復がどれほど急速に難しくなるかを示している。
DeFi においてレガシー・コントラクトは継続的なセキュリティリスクになり得る
今回の事件は、分散型金融（DeFi）で繰り返し起きる問題を浮き彫りにしている。新しい仕組みに置き換えられた後でも、古いコントラクトが財務的に重要なままであり得るという点だ。プロトコルはしばしば旧バージョンを非推奨にするが、公開ブロックチェーン上にデプロイされたスマートコントラクトを簡単に消し去ることはできない。ユーザー、ボット、あるいは忘れられた流動性がそれらのプログラムに接続されたままでいると、開発が別の場所へ移ってから数年後でも、休眠状態のインフラが攻撃対象となり得る。
そのため DeFi プロトコルにとって、非推奨化は単なるプロダクト管理の仕事ではない。セキュリティのプロセスである。チームは非アクティブなプールを特定し、ユーザーに警告し、フロントエンドへのアクセスを削除し、残存残高を監視し、明確な移行ルートを作る必要がある。可能であれば、標的になり得る前に、緊急のコントロールやインセンティブによって廃止済みプールの資金を引き出してしまうことも必要になるかもしれない。
より広い市場への示唆は、DeFi のセキュリティリスクが新しく立ち上げられたコントラクトに限られないということだ。成熟したプロトコルは、過去のコード、古い流動性構造、そしてレガシー連携を抱えているため、現在のシステムと同じレベルの監視が行われない可能性がある。DeFi がより制度的なものになっていくにつれ、監査人や投資家は、コントラクトを安全に引退させるための正式なライフサイクル手順がプロトコルにあるのかどうかを、ますます確認するようになるだろう。
FAQ
Raydium のレガシー AMM V3 の悪用の原因は何だった？
この悪用は、廃止済みの Solana プールにおける流動性提供者（LP）のミント検証の不具合によって引き起こされた。攻撃者は無効または偽の LP トークン条件を用いてプールのロジックを操作し、2021 年に段階的に廃止されたレガシー AMM V3 プログラムに紐づく 5 つの廃止済み流動性プールから資金を引き出せるようにした。
Raydium は 134 万ドル規模の悪用にどう対応した？
Raydium は、自社のトレジャリーから影響を受けた損失を補償すると述べた。チームは、この問題が古い AMM V3 コントラクトに限定されており、プラットフォームの現在の流動性プログラムやアクティブユーザーには影響しなかったため、Solana の分散型金融（DeFi）全体での即時の連鎖（伝播）リスクが抑えられることを確認した。
