ロジック脆弱性による攻撃がDeFiフラッシュローンの損失の55%を占め、価格操作を上回る

2022年2月から2024年7月にかけてのフラッシュローン損失のうち、DeFiプロトコルのコードにおけるエラーを悪用した攻撃が55%を占めていたと、『ジャーナル・オブ・ファイナンシャル・クライム』に発表された論文で示されている。 その割合は直近2年間では28%であり、この急増により価格フィード操作攻撃を引き離して首位となった。

本研究はウィンチェスター大学警察・犯罪学部教授のティム・ホール氏と、元シニティファイ・リスク・インテリジェンスパートナーのレモ・スタイガー氏によって執筆された。2020年2月から2024年7月の期間中、彼らは合計12億1,100万ドルの損失をもたらす72件のフラッシュローン攻撃を記録した。

4つの攻撃タイプが 81% 以上の被害をもたらした

フラッシュローンとは、借り手が同じブロックチェーン取引が終了するまでに返済することを条件に、担保なしで暗号資産を借用できる仕組みである。これ自体に違法性はないが、攻撃者にとって自身へのリスクゼロで悪用を実行するための資金源となる。

研究で分析された14種類の攻撃タイプのうち、1つはプロトコルが信頼する価格データを操作し、もう1つはそのロジックの脆弱性を悪用するものだった。ロジック系は標的となる数が少なく、平均コストも高かった。

価格オラクル攻撃、寄付機能ロジックの悪用、再帰呼び出し（リエンタント）攻撃、および単一の1億8,100万ドル規模のガバナンス攻撃を合わせると、損失全体の81%以上を占めている。

著者は攻撃の波が上昇し、その後沈静化する様子を目撃しました。このパターンは、各ラウンド後にプラットフォームが防御を強化し、攻撃者が新たな脆弱性を発見することに起因すると結びつけています。

イーサリアムは80%以上の$1.211億ドルを吸収しました

8万ドルから1億9,700万ドルまでの範囲で、1,000万ドル以上の攻撃による損失は全体の88%以上を占め、そのうちイーサリアム単独で80%以上を占めました。

フラッシュローンによる被害額は、期間全体を通じて実施された254件の成功したDeFi攻撃で奪われた65億6,800万ドルのうち18.44%を占めました。SyntiFiのオンチェーンエンジンは、Ethereum、Base、Optimism、Arbitrum、BNB Chain、Avalanche、Polygon上で206億3,000万件のトランザクションを処理し、集計を行いました。

借入は増加し続けましたが、フラッシュローン経由で借り入れられた総額の0.5%を超える損失が見られたのは、6ヶ月間のうちわずか1回のみでした。著者たちは、脅威が深刻であり洗練されつつあるものの、「存続を脅かすものではない」と判断しています。

「かつて見たことのない犯罪が増加しており、数千万ドルという途方もない金額を盗む能力を持つものもあります」と、ホールは大学の声明の中で述べた。

ホール氏はまた、攻撃者がソーシャルメディアで挑発したプラットフォームについても言及しました。彼は、この戦術が「一部の被害者に攻撃者と対話させ、この資金喪失が彼らに与えた壊滅的な影響を明らかにさせることにつながった」と述べています。

Cryptopolitanによると、2026年3月、Venus Protocolは低流動性のTHENNA担保を活用した攻撃により370万ドル以上の損失を被った。4月には、Suiベースの貸出プラットフォームScallopが、廃止予定の報酬コントラクトにおけるフラッシュローンと未初期化の変数の悪用により、14万2,000ドルの損失を被った。