分散型金融プロトコルBalancerが1億ドル相当のハッキング被害、フォークプロジェクトも影響

TLDR

• 2025年11月3日、BalancerがV2コントラクトの脆弱性を突かれ、1億ドル以上が流出。
• 攻撃者に関連する3つのイーサリアムウォレットに1億1700万ドルの盗難資産が保管されている。
• コードの再利用により、Beets.fiとBerachainのフォークプロジェクトも影響を受けた。
• 1億ドルの脆弱性攻撃のニュースが公開された後、BALトークンは5%下落。

主要な分散型金融（DeFi）流動性プロトコルの一つであるBalancerから、大規模なセキュリティ侵害により1億ドル以上が盗まれました。この攻撃は、同じオープンソースコードを共有する複数のフォークプロジェクトにも影響を与えました。セキュリティ企業HashDitによると、この脆弱性攻撃に関連する3つのイーサリアムウォレットには現在、1億1700万ドル以上のデジタル資産が保管されているとの初期推定が示されています。

2025年11月3日にハッキングが発見される

侵害は2025年11月3日の9:18 UTCに報告されました。HashDitの監視ツールは、複数のイーサリアムウォレットにわたる異常な活動を素早く検出しました。攻撃は主に、ステーキングされたETHトークンを含む様々な流動性プールを管理するBalancerのV2スマートコントラクトを標的にしていました。

ブロックチェーンデータによると、攻撃者はスマートコントラクトのロジックの欠陥を利用してプール残高を操作しました。主要なウォレット（0xaa76…8e3f）には約1億ドルのデジタル資産が保管されており、その内訳はWETHが63.98%、osETHが26.92%、wstETHが9%です。この脆弱性攻撃に関連する他の2つのウォレットには、それぞれ1350万ドルと370万ドルが見つかりました。

このハッキングはBalancerの歴史上最大のものであり、2025年これまでに報告されたDeFi脆弱性攻撃の中でも最大級のものです。

Beets.fiとBerachainのフォークプロジェクトも標的に

攻撃はBalancerだけにとどまりませんでした。Beets.fi（Beethoven X）やBerachainなどのフォークプロジェクトも、共有コードベースのため影響を受けました。HashDitは侵害が発見された直後に複数のチームに警告しました。

Beets.fiはDiscordを通じて、流動性プールが内部レビュー中であることを確認しました。Berachainは予防措置として流動性マイニング操作を一時停止しました。BNBチェーンでの攻撃は報告されていませんが、Balancerのコードを使用している開発者には、セキュリティを確保するための緊急監査の実施が促されました。

フォークプロトコルは同じコードに基づいて構築されることが多く、適切にテストまたは更新されていない場合、同様の脆弱性につながる可能性があります。影響を受けたプロジェクトの背後にあるチームは、セキュリティチェックや考えられる損失の詳細をまだ共有していません。

盗まれた資産と脆弱性の内訳

ブロックチェーン分析によると、攻撃者はWETH、osETH、wstETHの3種類の資産を流出させました。これらはBalancerのV2流動性プールでよく使用されています。この脆弱性攻撃は、スマートコントラクトでのプール残高の計算方法を悪用することで機能しました。

2番目のウォレット（0x827…80f4）にはETH、osETH、wstETHで1350万ドルが含まれています。3番目のウォレット（0x0453…941c）には約370万ドルが保管されており、その大部分はアナリストがステーブルコインである可能性があると考える未確認のトークンです。

セキュリティ研究者は、BalancerのV2コントラクトが脆弱性の中核にあったと指摘しています。また、コードの更新が定期的に行われない場合、オープンソースのDeFiプロジェクトはリスクが高まると警告しています。

この事件は、Balancerが以前に直面した問題の後に発生しました。2020年には、デフレトークンの脆弱性攻撃により50万ドルを失いました。2023年には、同様のプール脆弱性により90万ドル相当の別の侵害を受けました。

市場の反応と継続的なモニタリング

公開発表後、Balancerのトークン（BAL）は数時間以内に約5%下落しました。より広範なDeFi市場は大きな動きを示しませんでしたが、プロトコル全体のセキュリティチームはスマートコントラクトコードの緊急レビューを開始しました。

最新の更新時点では、Balancerからの公式声明は発表されていません。アナリストは攻撃に関連するウォレットの追跡を続けています。攻撃者が現金化を試みた場合、中央集権型取引所が資金を凍結できる可能性があると考える人もいます。

HashDitや他のブロックチェーンセキュリティ企業はオンチェーン活動の監視を続けています。これまでのところ、攻撃者は盗まれた資金をミキサーや取引所に移動させていません。今後数日間で、資産が回収されるか凍結されるかが決まる可能性が高いでしょう。

The post DeFi Protocol Balancer Hacked For $100M And Forked Projects Affected appeared first on CoinCentral.