バイナンスハッキングの余波：Aaveが16のネットワークで貸付業務を凍結

バイナンスの脆弱性を突いた攻撃で、複数のブロックチェーンから19万5,000ETHが流出した。

分散型金融（DeFi）の貸付プロトコル「Aave」は木曜日、Binanceのホットウォレットを標的とした大規模なセキュリティ侵害を受け、16のブロックチェーンネットワークにわたる貸付市場を凍結しました。この攻撃により、攻撃者は複数のチェーンにまたがり、195,000 ETH以上および数百万ドル相当のアルトコインを流出させました。

声明によると、攻撃は2026年10月29日午後3時24分（EST）に始まり、攻撃者はイーサリアムベースのバイナンスホットウォレットから167,464 ETHと63種類のトークンを、身元不明のアドレスへ送金する単一の取引を開始しました。 その数分後、同じ攻撃者は別のバイナンスウォレットからさらに28,006 ETHを受け取り、さらにArbitrum、Optimism、Avalancheを介して送金された資産も受け取りました。 声明ではさらに、米国東部標準時（EST）午後5時04分にAvalanche上で444,537 AVAXが流入したことなど、継続的な資金流入が確認されたことから、この脆弱性が2時間以上にわたり有効であったことが示唆されています。

最初の侵害後、攻撃者は20以上のウォレットアドレスに資金を分散させ、分散型取引所（DEX）でユニスワップ（UNI）、チェーンリンク（LINK）、アヴェ（AAVE）などのトークンをイーサと交換して売却し始めました。

攻撃者は緊急凍結前に6,000万ドル相当をAaveに預け入れていました。

米国東部標準時（EST）午後3時58分から午後4時01分の間に の間に、保護措置が実施される前に、攻撃者と関連するウォレットが6,000万ドル相当のテザー（USDT）をAave V3 Ethereum Coreに預け入れ、約4,460万ドル相当の19,762 WETHを借り入れました。 セキュリティアナリストは、このポジションが依然として過剰担保状態にあることを確認しました。4,380万ドルの債務に対して、5,990万ドル相当のUSDTが担保として差し入れられています。その結果、このポジションはAaveの流動性プロバイダーに直接的な債務不履行リスクをもたらすことはなく、標準的な清算メカニズムの対象となります。

この攻撃を受け、Aave Labs、Tokenlogic、Certora、および提携セキュリティプロバイダーのセキュリティチームは、最初の報告から10分以内に合同緊急対応チームを立ち上げ、被害拡大防止策を調整しました。 攻撃者が盗んだトークンを他のプールに預け入れるのを防ぐため、プロトコルガーディアンは個々のトークンリザーブを選択的に一時停止したり、供給上限を引き下げるための5日間のコミュニティガバナンス投票を待ったりするのではなく、グローバルな凍結措置を実施しました。

ガーディアンのマルチシグウォレットは、EST午後4時42分から午後6時04分の間に緊急凍結措置を実行し、16のネットワークにまたがるAave V3の175のリザーブと、4つのネットワークにまたがるAave V4の117のリザーブを停止させました。

この凍結措置は、イーサリアム、Arbitrum、Avalanche、Base、Optimism、Polygon、BNB Chainなどの主要ネットワークに影響を及ぼしています。ただし、許可型（パーミッション型）のHorizon実世界資産（RWA）市場は引き続き稼働しており、チームはコントラクトの完全な停止を回避しました。

「また、攻撃者をリアルタイムで追跡しています。イーサリアム、Arbitrum、Optimism、Avalanche上でそのクラスターに属するすべてのウォレットを追跡し、Aaveとのやり取りを監視するとともに、Aaveが依存しているChainlinkの価格フィードも監視しています」と、Aaveは声明で述べました。

現在の制限下では、既存ユーザーは債務の返済や担保の引き出しが可能ですが、新規の預入や借入は引き続き停止されています。

バイナンス、さらなる侵害ポイントを特定

一方、バイナンスは新たなアップデートで、このセキュリティ侵害が当初考えられていたよりも複雑であり、調査チームが侵害された可能性のあるノートパソコン以外にも、さらなる侵害ポイントを特定したことを明らかにした。「当初の調査では、このセキュリティインシデントには侵害されたノートパソコンが関与している可能性が示唆されていましたが、その後の調査により、さらなる侵害ポイントが明らかになりました」とバイナンスは述べた。

同取引所は、攻撃の調査および影響を受けた資産の回収に向け、法執行機関と連携していると述べました。また、パートナー企業との協力により、影響を受けた資産のうち約30億ドルが凍結されたことも確認しました。同取引所によると、出金サービスを一時停止した後、不正な資金流出は止まったということです。 入金は影響を受けておらず、以前発表した45時間以内の出金再開見通しに変更はないと説明しました。また、バイナンスは「ユーザー資産保護基金（SAFU）」と自社資金で損失を全額補償すると約束し、顧客資産は安全であると保証しました。「これは複雑な攻撃であり、解決に向けて法執行機関と連携し、全力を尽くしています」とバイナンスは述べました。「現在も事実関係の把握を進めており、新たな情報が入り次第、直接共有していきます。」 同取引所は、捜査当局が追加情報を確認するにつれ、公式のコミュニケーションチャネルを通じて引き続き最新情報を提供していくと付け加えました。

Aaveが段階的な復旧に向けた準備を進める中、仮想通貨市場は下落

この攻撃を受けて暗号資産市場は直ちに売り圧力にさらされ、ビットコインは76,320ドルまで急落し、イーサは2,170ドルまで下落しました。 攻撃者が直接売却したトークンはさらに急落し、AAVEとLINKはそれぞれ9％下落、UNIは8％下落、Arbitrum（ARB）は6％下落しました。

主要な法定通貨担保型ステーブルコインはペッグを維持しましたが、AaveのGHOステーブルコインは、ユーザーが安定性モジュールを通じて460万GHOをUSDTに換金したため、一時的に0.997ドルまで下落しました。

プロトコルのエンジニアらは、Binanceからの追加対策の進捗報告と攻撃者のウォレット活動の安定化が見られるまで、市場は凍結された状態が続くと述べました。これらの条件が満たされ次第、制限を段階的に解除するプロセスが検討される予定です。