Flow は 2026 年 1 月 6 日にdent レポートを公開し、390 万ドルの被害の根本原因について説明しました。.
攻撃者はCadenceのランタイム型混乱の脆弱性を悪用し
フローは、型混乱の脆弱性をエクスプロイトの根本原因として特定しdent
Flow によって、型混乱の脆弱性が主な原因であることが判明しました。この脆弱性により、攻撃者は保護された資産を通常のデータ構造に偽装することで、ランタイムの安全性チェックを回避することができました。攻撃者は約 40 件の悪意のあるスマートtracの実行を調整しました。.
攻撃は2025年12月26日23時25分（太平洋標準時）のブロック高137,363,398で開始されました。最初の展開から数分後、偽造トークンの作成が開始されました。攻撃者は、複製可能な標準データ構造を用いて、本来コピー不可能な保護対象資産を偽装しました。ケイデンスの「移動のみ」セマンティクスを悪用することで、トークンの偽造が可能になりました。.
Flowが運営する統合プログラミング環境は、CadenceとEVMに完全相当する環境の2つです。今回のエクスプロイトはCadenceを標的としていました。.
最初の悪意ある取引から6時間以内にネットワークがダウン
12月27日、ブロック高137,390,190の時点で、フローバリデーターは太平洋標準時午前5時23分に協調的なネットワーク停止を開始しました。すべての脱出経路が遮断され、最初の悪意のあるトランザクションから6時間以内に停止が発生しました。.
偽造FLOWは、12月26日23時42分（太平洋標準時）までに中央取引所の預金口座に移されていました。その規模と不規則性のため、取引所に送金された大口FLOWのほとんどは、受領と同時に凍結されました。12月27日0時06分（太平洋標準時）以降、一部の資産はCeler、deBridge、Stargateを利用してネットワーク外にブリッジされました。
太平洋標準時午前1時30分に最初の検知シグナルが発せられました。この時点で、取引所への入金は、仮想通貨間の異常なFLOWの動きと相関関係にあることが確認されました。偽造FLOWは太平洋標準時午前1時から清算され始め、中央集権型取引所は大きな売り圧力に直面しました。.
取引所が偽造FLOWトークン4億8400万枚を返却
Flowによると、攻撃者は複数の中央集権型取引所に10億9400万FLOWの偽造FLOWを預け入れました。取引所パートナーのGate.io、MEXC、OKXは4億8443万4923FLOWを返却し、これは破棄されました。残りの偽造品供給の98.7%はオンチェーンで隔離され、破棄手続き中です。完全な解決は30日以内に見込まれており、他の取引所パートナーとの調整は現在進行中です。
コミュニティがチェックポイントの復旧を、復旧戦略が選択されました。Flowは、インフラパートナー、ブリッジオペレーター、取引所とエコシステム全体にわたる協議を行いました。
Flow の 390 万ドルのエクスプロイトは、2025 年 12 月下旬から 2026 年 1 月上旬にかけて暗号プロトコルに影響を与えたセキュリティdentの同様のパターンの中で発生しました。BtcTurk は 2026 年 1 月 1 日に 4,800 万ドルのホット ウォレット侵害を受けました。ハッカーは中央集権型取引所のホット ウォレット インフラストラクチャを侵害し、 Ethereum、Arbitrum、Polygon、その他のチェーンにわたって資金を流出させました。.
Binance 1月1日にBROCCOLIトークンに関するマーケットメーカーのアカウント操作dent を経験しました。.
