-
Aperture Financeの脆弱なV3およびV4スマートコントラクトが攻撃され、$3.67Mが流出するエクスプロイトが発生。
-
ハッキングに関連するウォレットは後に1,242ETH（約$2.4M相当）を資金洗浄目的でTornado Cashに送金。
-
セキュリティチームは、侵害されたコントラクトアドレスに紐づくERC20および流動性ポジションの承認取消しをユーザーに強く要請。
DeFiプラットフォームAperture Financeは重大なセキュリティ侵害に遭い、スマートコントラクトのエクスプロイトにより約$3.67Mを失いました。ブロックチェーンセキュリティ企業PeckShieldによると、ハッカーは盗んだ資金をプライバシーミキシングサービスであるTornado Cashを利用して積極的に移動させています。
この活動は、資金回収や実際のハッキング手法に対する新たな懸念を呼び起こしています。
Aperture Financeエクスプロイトの発生経緯
PeckShieldによると、Aperture Financeのハックは2026年1月25日に発生し、その原因はV3およびV4スマートコントラクトの脆弱性と、既存のユーザートークン承認の組み合わせにありました。
DeFiプラットフォームでは、ユーザーが取引や戦略を自動化できるよう、ERC-20トークンや流動性ポジションNFTの移動をコントラクトに許可することが一般的です。しかし今回は、攻撃者がこれらの承認や関数呼び出しの取り扱いにおける欠陥を突きました。
ウォレットを破壊したり秘密鍵を盗んだりするのではなく、攻撃者はコントラクトのロジック自体を利用し、不正な資産移転を引き起こしました。
多くのユーザーがすでに承認を与えていたため、攻撃者は新たな署名を必要とせずに資金を移動できました。結果として、承認されたトークンや流動性ポジションに紐づく資産が流出しました。
ハッキング後にTornado Cashへ資金移動
こうして$3.67M相当の資産が流出し、攻撃者はその大部分をETHに換え、約1,242ETHをTornado Cashに送金し痕跡を隠しました。
攻撃者は盗んだ暗号資産の出所を隠し追跡を困難にするため、Tornado Cashのようなミキシングサービスをよく利用します。資金は10ETHや100ETH単位など複数の小分けトランザクションで送信され、これは注目を避けるためによく使われる手法です。
- 関連記事：
- ,
ユーザーにトークン・NFT承認の取消しを要請
エクスプロイトを受け、Aperture Financeチームは緊急通知を発表し、影響を受けたコントラクトアドレスのリストを共有しました。また、ユーザーに対し、リスクのあるアドレスに紐付くERC-20トークン承認およびERC-721流動性ポジション承認の両方を速やかに取り消すよう警告しました。
ウォレットの承認はスマートコントラクトがユーザー資金を移動することを可能にしますが、承認が残ったままだとコントラクトが侵害された際に悪用される恐れがあります。
暗号資産業界の最新動向を見逃さないで！
Bitcoin、アルトコイン、DeFi、NFTなどの最新トレンドについて、速報ニュースや専門分析、リアルタイムのアップデートをお届けします。
よくある質問
ハッカーはプラットフォームのスマートコントラクトの脆弱性を突き、既存のユーザートークン承認を利用して秘密鍵を盗まずに資産を移動させました。
すべての影響を受けたコントラクトアドレスに紐付くトークンおよび流動性ポジションの承認を直ちに取り消し、さらなる損失を防いでください。
Tornado Cashのようなサービスはトランザクションの痕跡を隠し、ハッキング後の暗号資産の追跡や回収を困難にします。
いいえ。エクスプロイトはスマートコントラクトの許可を悪用したもので、秘密鍵は安全ですが、承認済み資金がリスクにさらされました。
