スマートコントラクトの脆弱性

慢雾安全チームは警告を発表しました。未検証のコントラクトがセレクタ 0x42be3129 により制限のない低レベル呼び出しの脆弱性を露呈し、アクセス制御とターゲットデータの検証が欠如しているため、約 16.6 枚の WETH が盗まれました。攻撃者はコントラクトの既存の ERC20 認可額を利用し、所有者チェックを回避して未承認の transferFrom 操作を実行しました。

慢雾の監視によると、分散型金融プロトコルのLien Financeが攻撃を受け、攻撃者はスマートコントラクトの脆弱性を利用して無担保の債券トークンを鋳造し、約54.2万ドルのUSDCを盗みました。この脆弱性を利用して、攻撃者は対応する入力債券を破棄することなく、新しい異常でないBondTokenを成功裏に鋳造し、事前承認されたアドレスを通じてUSDCを交換し、最終的に被害者のアドレスから約542,144.63枚のUSDCを移動させました。分析によると、今回の事件は債券トークンの交換ロジックにおける検証の欠陥が本質的な原因であり、攻撃者が資産担保の制約を回避し、無担保の資産を鋳造できるようになったことが示されています。

Cointelegraph の報道によると、Anthropic は Claude Mythos モデルの最初の公開バージョン Fable 5 をリリースしました。内蔵の安全バリアがあるにもかかわらず、暗号ユーザーはそれが悪意のある目的に使用される可能性を懸念しています。このモデルは以前に「システム上重要なソフトウェア」で 1 万件以上の高リスクの脆弱性が発見されています。Anthropic は、Fable 5 が一般的な用途に対して安全に準備されており、バリアがサイバーセキュリティなどの話題を他のモデルにリダイレクトすると述べています。Moonrock Capital の創設者 Simon Dedic は、Fable 5 を利用してスマートコントラクトの脆弱性を見つけるコストとスキルの要件が「基本的にゼロに近づく」と警告しました。監査されていないプロトコルは標的となり、既知の脆弱性が繰り返し悪用されることになります。彼はユーザーに対して、ウォレットの権限を取り消し、資産をプロトコルから移動し、新しいハードウェアウォレットに転送することを提案しました。Curve の共同創設者 Michael Egorov は、脅威が誇張されていると考えており、スマートコントラクトのコード量は数千行に過ぎず、人間と従来の AI は十分に推論できると述べています。真のリスクは操作の安全性とサプライチェーン攻撃にあるとしています。

据 GoPlus 最新报告，2026 年 1 月，Web3 因主要安全事故造成的经济损失达 4.14 亿美元。安全事件类型包括智能合约漏洞、社会工程学攻击、钓鱼攻击、貔恘盘、Rugpull 等。其中，Exploit（包括合约攻击，社工欺诈，私钥泄露等）因 20 起主要事件，造成 3.75 亿美元的损失。因钓鱼攻击造成的总损失约 2000 万美元，受害者人数约 5000 人。当月在 ETH、Base、BSC 监测到新增貔貅代币（HoneyPot）390 个，相较 12 月有所降低。

据 The Block 报道，跨链流动性协议 CrossCurve（原名 EYWA）确认其跨链桥协议"正遭受攻击"，原因是其智能合约中的一个漏洞被利用，导致约 300 万美元资金被跨多个网络窃取。区块链安全机构 Defimon Alerts 发现，此次攻击的攻击途径是 CrossCurve 的 ReceiverAxelar 合约中的网关验证绕过漏洞。分析显示，任何人都可以使用伪造的跨链消息调用该合约的 expressExecute 函数，从而绕过预期的网关验证，并触发协议 PortalV2 合约上的未经授权的代币解锁。该协议由 Curve Finance 创始人 Michael Egorov 支持，此前已融资 700 万美元。

据 Anthropic 発表の最前線レッドチームテスト結果、AI エージェントはシミュレーションされたブロックチェーン環境で複数のスマートコントラクトの脆弱性を特定し、潜在的に利用可能な金額は 460 万ドルに達します。テストは、コントラクト分析、コマンドラインツールの設定、ネットワーク再構築、Exploit の生成と検証などの完全なプロセスをカバーし、スマートコントラクトのセキュリティ評価の新しいベンチマークを発表しました。この研究は、Anthropic、MATS プロジェクト、Fellows プログラムの共同で実施されました。

GoPlus の監視によると、Web3 はスマートコントラクトの脆弱性、ソーシャルエンジニアリング攻撃、フィッシング攻撃、詐欺、Rugpull などのセキュリティ事故により、総損失が 4584 万ドルを超えています。その中で：GMGN ユーザーがフィッシング攻撃を受け、攻撃者が第三者のトークンサイトを偽造して非承認取引を誘導し、107 人のユーザーが 70 万ドルを超える損失を被りました；CZ などの KOL に注目された Twitter アカウントが @OracleBNB に改名され、@four_meme_ と提携してトークンを発行したと偽装し、その後 RUG で 34 BNB を利益として得ました。

ChainCatcher のメッセージによると、CrowdFund Insider は、アーンスト・アンド・ヤング（EY）がそのブロックチェーン分析ツールであるスマートコントラクトとトークンレビュー（SC&TR）ツールに新しい人工知能機能を導入したと報じています。この機能は、より広範なコードカバレッジを通じてスマートコントラクトの脆弱性検出を強化し、契約シミュレーションプロセスを簡素化することを目的としており、より迅速で堅牢なスマートコントラクトレビューを実現します。この AI 機能により、ユーザーは自然言語のプロンプトとツールのテストエンジンを使用して、契約レビュー全体のプロセスを自動化およびシミュレーションすることができ、効率が大幅に向上します。この機能は、既存のテストおよびシミュレーションライブラリの膨大なデータに基づいてトレーニングされており、レビュー担当者をサポートし、脆弱性検出能力を向上させます。自動化により、顧客は同じリソースを維持しながら、より高いテストカバレッジを実現でき、EY チームのレビュー時間を 50% 短縮します。EY のグローバルブロックチェーン責任者であるポール・ブロディは次のように述べています。「スマートコントラクトの真の価値を最大限に引き出すためには、企業はまず、テストプロセスにおける時間のかかる、見落とされがちな手動プロセスを排除する必要があります。私たちのブロックチェーン分析ツールは、ブロックチェーンと AI がどのように相互補完し、プロセスの自動化と改善を実現するかを示しています。」

ChainCatcher のメッセージによると、The Block が報じたところでは、Forta は a16z crypto、Coinbase Ventures およびその他の投資家に支援された Web3 セキュリティ会社であり、新しい製品であるファイアウォールを発表しました。これは、スマートコントラクトの脆弱性を検出し防止するのに役立ちます。このファイアウォールは、FORTRESS と呼ばれる機械学習および人工知能モデルを採用しており、取引ログをチェックすることで高リスク取引を分析および検出します。Forta ファイアウォールのビジネスモデルは、毎月固定料金を請求することですが、Beal は具体的な金額を明らかにすることを拒否しました。初期の顧客には Euler、Plume、Balmy が含まれています。

ChainCatcher のメッセージ、ブロックチェーン技術会社 ConsenSys は、スマートコントラクトテスト用の「Diligence Fuzzing（ファジングテスト）」ツールを公開しました。新しいツールは、「ランダムで無効なデータポイント」を生成し、コントラクトが公開される前にコントラクト内の脆弱性を発見することを目的としています。この新しいツールは以前はクローズドテスト版として提供されており、開発者はアクセスの承認を得る必要がありました。8月1日から、この承認プロセスは不要になりました。

ChainCatcher のメッセージ、Coinbase の責任者 Conor Grogan がツイートを発表し、彼が ChatGPT-4 にリアルタイムのイーサリアムスマートコントラクトを挿入したところ、AI が瞬時にセキュリティの脆弱性を見つけ出し、さらにはそれらの脆弱性を利用して攻撃する方法を示したと述べています。Conor Grogan は、このコントラクトが2018年にハッカーによって脆弱性を利用されて攻撃されたことを補足し、さらに Euler のスマートコントラクトも試みたが、コントラクトが長すぎて ChatGPT-4 に処理できなかったことを明らかにしました。Conor Grogan は、AI が最終的にスマートコントラクトをより安全で、構築しやすくするだろうと考えています。（出典リンク）

ChainCatcher のメッセージによると、派盾（PeckShield）の監視により、イーサリアムアラームクロック（Ethereum Alarm Clock）スマートコントラクトが悪用され、攻撃者がより高い取引手数料を設定することで、予想以上の ETH での返金を受け取ることが可能になったことが示されています。通常、コントラクトを呼び出すユーザーは、取引手数料をわずかに上回る報酬しか受け取らないため、現在この脆弱性により約 204 ETH が盗まれ、約 26 万ドルの価値があります。報告によると、イーサリアムアラームクロックスマートコントラクトは、ユーザーが受取人アドレス、送金額、取引時間を事前に決定することで、将来の取引をスケジュールすることを可能にしています。（出典リンク）