Truebit Protocol：約2600万ドル
2026年1月8日、イーサリアム上のTruebit Protocolがエクスプロイトされ、約2600万ドルの損失が発生しました。
根本原因は、TRUトークン購入価格設定機能における整数オーバーフローの脆弱性でした。コントラクトはSolidity v0.6.10でコンパイルされており、デフォルトではオーバーフローチェックが強制されませんでした。攻撃者は、購入コスト計算における大きな中間値がオーバーフローし、はるかに小さい数値にラップアラウンドするような入力パラメータを細工しました。これにより、攻撃者は最小限またはゼロに近いETHコストで大量のTRUトークンを購入することができました。
攻撃者は、単一の攻撃トランザクション内で複数のアービトラージラウンドを実行し、TRUトークンの売買操作を繰り返し行いました。特に、プロトコルは即時売買アービトラージを防ぐために、意図的に売買間の価格設定に非対称性を持たせていました。しかし、脆弱なコントラクトは、オーバーフロー保護のない古いSolidityバージョンを使用してデプロイされており、攻撃対象領域を露呈し、最終的にプロトコルのリザーブから8,535 ETHが流出する結果となりました。
SwapNet & Aperture：約1700万ドル
2026年1月25日、SwapNetとAperture Financeが攻撃を受け、共通の脆弱性に起因する合計約1700万ドルの損失が発生しました。この攻撃はMatcha Metaユーザーに深刻な影響を与え、被害額は1300万ドルを超えました。
影響を受けた両方のコントラクトはクローズドソースでしたが、攻撃経路は、逆コンパイルされたバイトコードとオンチェーンのトランザクショントレースを分析することで再構築可能でした。根本原因は、脆弱な関数内の重要なユーザー入力に対する検証が不十分であったことで、攻撃者は悪意のあるパラメータで任意のコールを実行することができました。一連の攻撃トランザクションにおいて、攻撃者はERC20 transferFrom()の呼び出しを構築し、脆弱なコントラクトにトークン承認を付与していたユーザーからトークンをドレインしました。
この攻撃に関与した両方のプロトコルは、コードをオープンソース化していなかったため、コミュニティが公開レビューを通じてセキュリティ脆弱性を特定することが困難でした。一方、承認ベースの攻撃アプローチは業界にとって警鐘となります。ユーザーはトークン承認を慎重に管理する必要があり、プロトコルは時間ロックまたは上限付き承認などの保護メカニズムを実装して、このような攻撃のリスクを根本的に軽減する必要があります。
Saga：約700万ドル
2026年1月21日、SagaエコシステムのSagaEVMがエクスプロイトされ、不正なトークンミントと約700万ドルの損失が発生しました。
根本原因はまだ完全に開示されていませんが、公式情報によると、SagaEVMが継承したEthermintとCosmosEVMコードの共通の脆弱性が攻撃につながったことが確認されています。攻撃者は悪意のあるスマートコントラクトをデプロイしてエクスプロイトを実行し、大量のSaga Dollarsをミントしました。攻撃成功後、盗まれた資金のほぼ全額がクロスチェーンブリッジを経由してイーサリアムネットワークに迅速に転送されました。
このインシデントは、ブロックチェーンエコシステムにおけるコード継承のリスクを浮き彫りにしています。基盤となるコードベースに脆弱性が存在する場合、そのコードを継承するすべてのプロジェクトが同じ脅威に直面する可能性があり、連鎖的なセキュリティ脆弱性を生み出します。
