Wasabi Protocol、管理者キー漏洩により500万ドルが流出、4つのチェーンにまたがる被害が発生

またしても、DeFiプロトコルが資金流出に見舞われた。イーサリアム、ベース、ベラチェーン、ブラストにまたがって運用されている無期限契約取引プラットフォームであるワサビプロトコルは、4月30日に攻撃者がデプロイヤー管理者キーを侵害し、それを利用して4つのチェーンすべてにわたるボルトコントラクトを組織的に空にしたため、450万ドルから550万ドルの損失を被った。

攻撃は迅速かつ計画的だった。攻撃者は管理者キーを入手すると、WasabiのパーミッションコントラクトのgrantRoleを呼び出し、タイムロックも待機期間もなく、遅延なしで完全な管理者権限を自身に付与した。そこから、 ブロックによると彼らはプロトコルのパープボルトとロングプールを、残高を単純に吸い上げる悪意のある実装にアップグレードした。

何が被弾したのか

イーサリアムでは、WasabiのwWETH、sUSDC、wBITCON、wPEPE、およびLong Poolのボルトが影響を受けた。Baseでは、sUSDC、wWETH、sBTC、sVIRTUAL、sAERO、およびsBRETTのボルトが攻撃を受けた。BerachainとBlastの脆弱性も損失総額に加算された。

セキュリティ企業Blockaidは、この攻撃が発生した時点で警告を発したため、少なくとも一部のユーザーには対応する時間的猶予が与えられた。しかし、管理者キーが侵害されたという性質上、いったんそのキーが悪意のある者の手に渡ってしまうと、プロトコル自体ができることはほとんどない。攻撃者はアップグレードメカニズムを制御し、契約内容を書き換えた。

セキュリティ上の欠陥は、恥ずかしいほど基本的なものだ

これは、防ぐことができたはずなのに、という点で非常に痛ましい出来事だった。根本原因は、新たなゼロデイ脆弱性でも、複雑な再入脆弱性でも、暗号プリミティブの微妙なエッジケースでもなかった。WasabiのPerpManagerにおいて、マルチシグ要件もタイムロックもガバナンスプロセスも一切なく、外部所有のアカウントが完全なADMIN_ROLE権限を保持していたことだった。

これは、実際のユーザー資金を管理するプロトコルにとって、最低限必要なセキュリティ対策です。特権アクションに複数の鍵による署名を要求したり、アップグレードが有効になるまでに24時間または48時間の遅延を設けたりすれば、この攻撃は完全に阻止できたでしょう。タイムロックだけでも、ユーザーやセキュリティ研究者は悪意のあるトランザクションがキューに溜まっていることに気づき、実行される前に対応するための時間を確保できたはずです。

Wasabiは、こうした保護策を回避して代償を払う最初のプロトコルではないし、最後でもないだろう。しかし、DeFiにおいて中央集権型の管理者キーが頻繁に侵害されること、そして事後検証でマルチシグやタイムロックが全く導入されていなかったことが明らかになることが頻繁にあることは、この業界の発展段階において、実に説明が難しい。

背景：記録上最悪の月

Wasabiの脆弱性を悪用した攻撃は、2026年4月末に発生しました。この月は、暗号通貨ハッキングの追跡開始以来、最悪の月となりました。DeFiLlamaは、4月に発生した30件の個別の事件を確認し、総損失額は6億2500万ドルを超えました。これは、1日に約1件の攻撃に相当します。特に被害が大きかったのは、Drift Protocolのソーシャルエンジニアリングによる窃盗（約2億8500万ドル）と、KelpDAO LayerZeroブリッジの脆弱性を悪用した攻撃（2億9200万ドル）の2件で、いずれも北朝鮮のラザルスグループによる犯行と研究者によって指摘されています。

Wasabiの500万ドルの損失は、他の数字と比べると控えめに見えるかもしれないが、攻撃対象は大規模なブリッジ契約や資金豊富なプロトコルに限らないことを改めて認識させてくれる。実際のユーザー預金があり、保護されていない管理者キーが1つしかない小規模な永久契約プラットフォームも同様に脆弱であり、それらを標的にする経済的動機は確かに存在する。

ユーザーが知っておくべきこと

Wasabi Protocolは影響を受けた保管庫を一時停止し、ソーシャルメディアで今回の事態について発表しました。影響を受けた契約でポジションを保有している、または預金をしているユーザーは、Wasabiの公式チャンネルを通じて直接状況を確認し、ダイレクトメッセージで送られてくる返金オファーには注意してください。不正行為の後に発生する偽の返金詐欺は、不正行為そのものと同じくらい信頼性が高いからです。

2026年4月の出来事から得られるより重要な教訓は、業界が繰り返し学んでいることだ。取引インターフェースがどれほど優れていても、手数料がどれほど競争力があっても、プロトコルが蓄積したTVL（総資産額）がどれほど多くても、ガードレールなしで管理者キーが1回の取引ですべての資金を引き出せるなら、いずれ誰かがそのキーを入手するだろう。それに応じた設計をすべきだ。

---------------

著者： アラン・ウォード
シアトルニュースデスク