脆弱なオラクルがDeFiプロトコルを崩壊させた。Suiブロックチェーン上に構築された資本効率の高い収益プロトコル「Full Sail」は、オラクルプロバイダーのSwitchboardから提供された不正確な価格フィードを悪用され、3つのバウトから約91,000ドルを奪われたため、永久にサービスを終了する。
8月29日に発覚したこの事件は、Switchboardが4つの異なるブロックチェーンで運用を停止する事態を引き起こしました。被害はFull Sailにとどまらず、関連するVirtue Moneyプロトコルも、同様に侵害されたデータにより45人のユーザーに約45万5,000ドルの損失が発生したと報告しています。
何がうまくいかなかったのか
根本原因は、SwitchboardのMove言語オラクル実装にさかのぼります。MoveはSuiとAptosの両方の基盤となるプログラミング言語であり、SwitchboardのMoveベースのコードに疑わしい脆弱性が存在したため、これらのチェーン上のプロトコルに流入する価格フィードが潜在的に改ざんされていた可能性があります。
フルセイルは、複数のオラクルによる検証を安全対策として実装していた。これは、複数のソースから価格データをクロスチェックしてから行動するためのシステムである。しかし、この防御は十分ではなかった。プロトコルは8月29日に事象を確認後、直ちに入金と出金を一時停止したが、3つのバウトへの被害はすでに発生していた。
Switchboardは、Sui、Aptos、IOTA、Movementの4つのチェーンでの運用を停止しました。
ウィンドダウン計画
9月2日までに、Full Sailはシャットダウンのロードマップを策定しました。プロトコルは新規入金を無効化し、ライクビディティプロバイダーの報酬請求を停止し、残りのすべてのプールを引き出し専用モードに移行しました。
チームは、残りの流動性をユーザーに還元することを約束し、不足分は自腹で補填すると表明しました。Full Sailは、ユーザーが資金を回収するプロセスを支援するための引き出しおよび請求ガイドを公開すると述べました。包括的なインシデントレポートは、今後数日中に公開される予定です。
エコシステム全体に広がる被害
フルセイルの損失は、ヴァーチューマネーで発生した損失と比較すると、ほぼ管理可能な範囲に見える。ヴァーチューマネーもSwitchboardの価格フィードに依存していたが、45人のユーザーにまたがって約45万5,000ドルの損失を報告している。この2つのプロトコルは、単一のオラクルの失敗から合計で50万ドル以上の損失を被った。
SwitchboardがSuiだけでなく4つのチェーン全体でシャットダウンしたという事実は、脆弱性がチェーン固有のものではなく、Move言語のオラクルコード自体に組み込まれていた可能性を示唆している。