Summary
- Edel Financeは、トークン化されたGoogle株のラッピングメカニズムが攻撃者によって操作され、担保価値が約78倍に膨れ上がり、約40万3千ドルの不良債権が発生したため、バージョン1のレンディングプロトコルを停止しました。
- このエクスプロイトは誤った価格オラクルに起因するものではありません。ChainlinkのフィードはAlphabetの株価を正確に報告していました。しかし、GOOGLxがそのラップ形式であるwGOOGLxに変換される方法に問題があり、攻撃者が誤った価格の担保を利用して実際の資産を借りることを可能にしました。
- エーデル氏は、預金者が全額保護されるようにすべての損失を吸収すると述べ、同様の価格操作攻撃を防ぐために設計を見直したバージョン2のシステムを展開しており、攻撃者にはホワイトハットによる和解案を提示するとともに、取引所と連携を図っている。
トークン化された株式取引プラットフォームであるEdel Financeは、火曜日にレンディングプロトコルを停止しました。これは、攻撃者がトークン化された株式の価格設定方法を悪用し、実際の価値の約78倍に膨らませた担保をもとに借入を行い、約40万3,000ドルの不良債権を残したためと、チームは述べています。
An Update from the Edel Team
Earlier today, Edel identified and contained an exploit affecting Edel Lending.
The exploit involved manipulation of the wrapped xStocks exchange rate between wGOOGLx and GOOGLx, causing wGOOGLx collateral to be valued at approximately 78x its…
ラップトークンとは、特定のプロトコル内で機能するように再パッケージされた資産の一形態であり、基礎となる資産と1対1で連動することを目的としています。攻撃者は両者の為替レートを操作し、wGOOGLxの価値を本来の約78倍に見せかけ、その架空の担保を利用してプロトコルから実際の資産を借り入れました。
価格設定自体が問題だったわけではありません。エデル氏は、実世界の価格をブロックチェーンに供給する標準的なサードパーティサービスであるChainlinkのオラクルを使用しており、それらは約357ドルの正確なGoogle株価を報告していたと述べました。
欠陥はラッピングメカニズムにありました。攻撃者はGOOGLxがwGOOGLxへ、またwGOOGLxから変換される方法に干渉したため、基礎となる価格フィードは正確であったものの、担保の価格が誤って評価されました。
エデルは、この脆弱性を検知して封じ込めた後、すべてのバージョン1の契約を一時停止し、現在も凍結状態にあることを明らかにしました。また、ユーザーに対してこれらの契約との取引を控えるよう警告しています。
チームは攻撃者の取引を追跡し、取引所と連携していることを明らかにし、攻撃者に対して一定の期間内に手数料を支払う代わりに資金の大部分を返還し、法的追及をしないホワイトハット和解案を提示したと述べた。
エデル氏は、預金者が損失を被ることはなく、チームが不良債権を吸収し、残高を1対1で回復すると指摘した。同社はこの種の操作を防ぐことを目的とした再設計された価格設定を備えたバージョン2を展開しており、詳細な技術的分析を追って公開することを約束した。
金額は小さいものの、この手法はDeFiにおける最も執拗な攻撃カテゴリーの一つに位置しています。
プロトコルに不正侵入するのではなく、参照する価格を操作することは、における二番目に多いスマートコントラクトの脆弱性として位置づけられています。OWASP スマートコントラクト トップ10 2025年の脆弱性について、CertiKのセキュリティ研究者はオラクルの価格操作をこの分野のの一つとして説明しています最も一般的な攻撃ベクトル.
クロスチェーンブリッジと並んで、4月にKelp DAOから2億9200万ドルが流出するなど、今年最大の単一窃盗事件を引き起こした分野である価格操作は、多くの資金が流れ続けている領域であり、これらのほとんどにおいて、コードは記述通りに機能しています。
トークン化された株式はその領域を拡大しています。Googleのような株式をオンチェーン化する製品は、DeFiの中でも最も急成長している分野の一つであり、資産とその価格の間にもう一つの層を加えています。それは、株式を担保に変換するためのラッピングおよび変換のステップです。