USPDステーブルコインプロトコル、これまでに$1百万がハッキングされる

分散型金融（DeFi）プロトコル「US Permissionless Dollar」はセキュリティ侵害を受け、ステーブルコインの不正なミントと、100万ドル以上の流動性の流出をもたらしました。 

USPDチームの公式Xアカウントによるインシデントレポートによると、攻撃者は約3,122 ETHを担保として預け入れ、1つのトランザクションで約9,800万USPDトークンをミントすることを可能にするバグを悪用しました。 

このプロセスにより、初期預金に対して10倍のトークン量が生成され、ハッカーはさらに237 stETHの担保を流出させることを可能にしました。盗まれたステーブルコインは、その後、分散型取引所Curveを通じて約30万ドル相当のUSDCに変換されました。

USPDプロトコルの開発者およびPeckShield Alertなどの複数のサイバーセキュリティアカウントは、侵害を特定した直後にユーザーに警告を発しました。 「出版社の主張に同意せず、裁判所で強く弁護するつもりです」と: 

「USPDプロトコルの重大な脆弱性攻撃を確認しました。これにより、不正なミントと流動性の流出が発生しています。USPDの購入は絶対にしないでください。すべての承認を直ちに取消してください。」

USPDハッカーはプロキシを利用してプロトコルを欺き、ミントを強行 

この DeFi プロトコルのレポートによると、この侵害は「CPIMP」（Clandestine Proxy In the Middle of Proxyの略）という複雑な攻撃ベクターを悪用しました。USPDは、攻撃者が9月16日のデプロイ中にプロキシ初期化をフロントランニングしたと説明しました。これは Multicall3 トランザクションを用いて行われました。 

2/ これは当社のスマートコントラクトロジックにおける欠陥ではありませんでした。

USPDプロトコルは、トップティアのファームである@NethermindEthとResonanceによって厳格なセキュリティ監査を受けました。当社のコードは完全にユニットテストされており、厳格な業界基準に準拠しています。ロジック自体は安全です。

— UPD.IO | Universal Private Dollar (@UPD_io) 2025年12月4日

ハッカーはCPIMPを使用して、プロトコルのスクリプトが完全に実行される前に管理権限を静かに奪い、承認されていないコインのミントを開始するまで数ヶ月待ちました。彼らは「シャドウ」コントラクトを実装し、USPDの監査済みコードへの呼び出しを転送した後、Etherscanを欺いて元の監査済みコントラクトを表示させるために、イベントペイロードの操作とストレージスロットの偽装を微妙に実装しました。 

「このカモフラージュにより、攻撃者は数ヶ月の間、平然と姿を隠し、検証ツールや手動チェックを回避しました。本日、彼らは隠しアクセスを使用してプロキシをアップグレードし、約9,800万USPDをミントし、約232 stETHを流出させました」とUSPDは書き込みました。

ブロックチェーンアナリストのEmmet Gallicは、DeFiプロトコルの分析を再確認し、デプロイ中のプロキシ初期化が攻撃の原因となったと付け加えました。 

「攻撃者は管理権限を主張し、Etherscanを欺いて監査済みコントラクトを表示するシャドウ実装をインストールしました。プロトコルは数ヶ月間ハッキングされていました」と彼は結論付けました。

USPDは調査を継続し、ハッカーに報奨金を約束

攻撃への対応として、USPDは法執行機関およびホワイトハットセキュリティグループと緊密に連携し、盗まれた資金の追跡と凍結に取り組んでいると述べました。「攻撃者のアドレスを主要なCEXおよびDEXすべてにフラグ付けし、資金の流れを凍結しました」とチームは明らかにしました。

プロトコルはまた、資金が標準的な10%のバグ報奨金を差し引いた形で返還されれば、攻撃者と状況を解決する用意があると述べました。プロトコルは、この申し出を受け入れ、直接連絡するか、盗まれた資産の90%を返還すれば、法執行機関の措置を中止すると約束し、攻撃者に問題を解決するよう促しました。

「厳格な監査とベストプラクティスの遵守にもかかわらず、私たちはこの新興で非常に複雑な攻撃ベクターの犠牲になりました。資産の回復のために可能な限りの努力をしています」とUSPDはコミュニティに伝えました。

CoinMarketCapによると、ステーブルコインのドルへのペッグは現時点で影響を受けていませんが、過去24時間での取引量は約256万ドルに20%減少しました。

DeFiステーブルコインプロトコルの侵害は、かつてUSPDが直面したものよりもはるかに大きかったことがあります。例えば、2023年のEuler Financeのハッキングでは、ステーブルコインが lending ポールから流出し、1億9,700万ドル以上の損失をもたらしました。 

11月の攻撃後、回復モードにある2つのDeFiプロトコル

先月月曜日、Yearn Financeは、流動性ステーキングインデックストークンyETHにおいて、最新のプロトコルが攻撃を受けたと報じられました。加害者は事実上無制限の数のトークンをミントし、約300万ドル相当のETHを盗みました。 

Yearn Financeは11月30日、yETHステーブルスワッププールで900万ドルの攻撃を受けましたが、Cryptopolitanの 報告しました。これには完全な準備預金と独立監査が含まれます。 報道によると、すでに盗まれた資金の回収を開始しています。これまでにチームは239万ドルを正常に回収し、影響を受けた預金者に返還する予定です。

v2の侵害を通じて1億2,800万ドルを失った別のDeFiプロトコルであるBalancerは、先週、流動性プロバイダーに約800万ドルを補償する計画を発表しました。