BarnBridgeのEthereum上のSmart Yieldがガバナンス乗っ取りで悪用、約77万6000ドルが流出
BlockSec Phalconによると、攻撃者はDAO（自立分散型組織）のガバナンス権限を取得し、Smart Yieldのコントローラーロジックを更新した上で、特権機能と50アカウントに既存のUSDC承認を利用してプール資金を流出させた。
ETH
USDC
ファクトチェック
一次情報であるBlockSec Phalcon Xの投稿（@Phalcon_xyz）は、この主張の具体的要素をすべて直接裏付けている。すなわち、約77万6000ドルの損失、ガバナンスの乗っ取り、コントローラーのプロキシを悪意ある実装へアップグレードしたこと、特権的な_takeUnderlying関数の使用、そしてイーサリアム上で50のアカウントに既存のUSDC承認があったことを悪用してプール資金を流出させた点である。PANewsの記事も、同じPhalconの投稿を引用して同様の詳細を伝えており、Blockaidの警告もBarnBridge Smart Yieldのガバナンス提案におけるトークン承認型の攻撃ベクトルを独立に裏付けている。この主張は、権威あるセキュリティ企業の報告を正確に要約したものであり、損失が推定額または疑いとして記述されている点も、発覚直後のインシデントでは標準的な表現である。
要約
Ethereum上のBarnBridge SMART Yield（cUSDC）が攻撃を受け、約77万6000ドルの損失が発生した。先に指摘されていたガバナンス関連の承認リスクが、実際の被害に発展した可能性がある。BlockSec Phalconによると、攻撃者はDAO（自立分散型組織）のガバナンス権限を取得し、SmartYield/controllerプロキシを悪意ある実装に更新。その後、CompoundProviderの特権的な_takeUnderlying関数を、50のユーザーアカウントに既存のUSDC承認と組み合わせて用い、transferFees経由でプール資金を移動させたという。この事案は、ガバナンス支配とアップグレード可能なコントラクトロジックが侵害された場合、トークン承認が直接的な損失経路になり得ることを浮き彫りにした。
用語解説
- DAOのガバナンス権限: 分散型自律組織内で、プロトコルの変更やアップグレードを承認できる支配権。
- トークン承認: スマートコントラクトがユーザーのトークンを移動できるようにする権限。
- プロキシ: メインのコントラクトアドレスを変更せずに、プロトコルのロジックをアップグレードできるスマートコントラクトの仕組み。