ステーブルコイン DeFi バンク「Infini」で、攻撃者が管理者レベルの権限を保持したまま $49M の不正アクセスが発生

ハッカーは Infini ステーブルコイン銀行から $49M 以上の USDC を着服しました。この不正アクセスは、開発者が Infini への納品後もアクセス権限を保持し続けたことによる内部者によるスマートコントラクトへのアクセスが原因である可能性があります。 

スマートコントラクトへの管理者アクセス権限により、ハッカーがステーブルコインDeFi銀行であるInfiniプロトコルから4900万ドルを抜き取りました。Infini自体は今回の攻撃に対して反応も説明も行っていません。Infiniはステーブルコイン担保を受け取り、日常の決済を行う暗号通貨カード発行会社です。 

Infiniは、暗号資産と伝統的金融を融合させたネオバンクとして決済サービスを宣伝していました。同製品はカードキャンペーンを開始した直近数週間でユーザー数が500%増加しました。また、ネオバンクは高利回りの収益商品も提供しており、これがハッカーの利用可能な流動性の増加につながりました。

問題となったのはまさにこの利回り商品であり、資金は報告によると 同様の Morpho MEV Capital Usual USDC Vaultから流出したものです。Morphoは警告を発しておらず、損失についても報告していません。

この攻撃は、一見すると通常のクジラ 取引, が行われた後に発見されました。新しいウォレットがコントラクトにロックされていた全資金を引き出したのです。攻撃者のウォレットはInfiniに知られており、プロジェクト側がハッカーにスマートコントラクトの作成を命じたことが報告されています。プロジェクト側は知らなかったのですが、攻撃者は管理者権限を保持しており、すべての流動性を引き出す呼び出しを実行することができました。 

🚨警報🚨今日、@0xinfiniが、攻撃者が保持していた管理権限を悪用したことで、$49M の $USDC が不正に引き出されました。

攻撃者は 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1 から活動しており、当初は Infini プロジェクトの一環としてこのコントラクトを開発していました。しかしその後… pic.twitter.com/olguOyNCJr

— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) 24月 2025日

攻撃者の最初の行動は、USDCを売却して17,696 ETHを購入することでした。攻撃者は分散型プロトコルを通じて利用可能なDAIを経由しました。資金はUniswap、Sky Protocol、0x Protocolを通過しました。USDCからの即時スワップにより、ハッカーは凍結できず、取引所でのブラックリスト化のみが可能なETHへ資金を移動させることができました。

その後、攻撃者は収益を小口に分け、複数のアドレスに送金しました。攻撃者は新しいウォレットを使用して少量のETHを送り、ガス代として使用し取引を完了させました。このウォレットへの初期資金はTornado Cashから提供され、ハッカーのオンチェーン上の痕跡の一部を隠蔽しました。

その後、ETHは一連の送金を通じて移動されました。執筆時点では、資金はまだ混合されていません。 

北朝鮮のハッカーによる犯行は再発したのか？

Infiniが誰にスマートコントラクトの構築を命じたかを明らかにしていないため、コントラクト作成者の身元は不明のままです。 

Infiniのハッキング事件は、2025における最大の不正アクセス事件に続いて発生しました。ここで Bybit取引所 イーサリアム (ETH) で最大 15 億ドルを失いました。Bybit のハッカーも、ミキシング前に ETH を分割する同様の手法を用いていました。オンチェーン調査家の ZachXBT は、この手法が Lazarus ハッカーグループの典型的な手口であると複数の事例で指摘しています。現時点では、Infini は攻撃者のウォレットを他の既知の Lazarus アドレスと関連付けていません。 

今回は秘密鍵は漏洩しておらず、Infini は出金・入金を停止していません。 

Infini の創設者である@christianeth は、開発者からプロジェクトへの権限移管プロセスにおいて過失があったとして全責任を負うと表明しました。創設者はユーザーに対し、プロトコルの流動性は維持されており、最悪の場合でも完全な補償が行われると安心させました。 

“私の個人用秘密鍵は漏洩していないため、過度に心配する必要はありません。権限移管時に過失がありました。最終的な責任は私にあります。これは警鐘を鳴らすものですが…流動性に問題はありません。完全な補償が可能であり、資金の追跡も行われています。 別の投稿で X 上の@christianeth

他のオンチェーン分析では、潜在的な秘密鍵の漏洩が示唆されており、これによりハッカーが契約にアクセスできたとされています。PeckShield は、エンジニアからハッカーへと転身した人物について 特定されたと報告しています. 攻撃後、Infini の共同創設者の一人である @0xsexybanana が アカウントを削除しました。今回の強盗事件は内部犯行と疑われており、そのエンジニアはスマートコントラクトを作成できるほど信頼されていたためです。 最近の ETH の乗っ取りと保有により、同チェーンがマネーロンダリングや敵対的な政権への資金提供に利用されているのではないかという疑問が浮上しました。一方で、これらの攻撃は ETH の小幅な買い戻しを促し、資産価格は数週間ぶりに 2,800 ドルを上回りました。ETH の損失により取引所は準備金を回復する必要に迫られ、追加需要が生じました。 

新たに人気を集めた暗号通貨カードおよび銀行サービス「Infini」は、USDC で 4,900 万ドル規模の侵害被害を受けました。