Kelp DAO から盗まれた2億2千万ドルの資金のほぼ全額が洗浄され、THORChain、Wasabi、Tornado Cash の前ではチェーン上での追跡は無意味となった。これは孤立した事例ではない——Radiant Capital は先日5,000万ドルの攻撃によりサービスを停止し、Gnosis Pay の脆弱性は依然として拡大中だ。クロスチェーンブリッジの信頼性は繰り返し書き換えられている。 ハッカーは THORChain を使用して1億7,500万ETHをビットコインへクロスチェーン転送し、その後ミキシングと分割を実施。1日で THORChain の取引量を3億9,400万ドルまで押し上げた。プライバシーツール自体は新しいものではないが、今回の規模は構造的な問題を露呈した：クロスチェーン流動性が盛んになるほど、ハッカーのマネーロンダリング経路は成熟する。 唯一凍結された7,100万ETHは現在法的紛争に巻き込まれている——北朝鮮の被害者家族がこれを賠償金として差し押さえようとしている。裁判所の差し止め命令の下、この資金が回収できるかは未定だ。DeFi のセキュリティ前提は「コードが法律」から「法律が最終防衛線」へと移行しつつある。 市場にとって、これは「悪材料が出尽くした」という物語ではない。攻撃のたびにプロトコルは監査を強化するが、ハッカーも進化し続けている。クロスチェーンの信頼コストの上昇は、最終的に資金レート、TVL、ユーザー行動に反映されるだろう——あなたは、マネーロンダリング経路に貫かれる可能性のあるネットワークに資産を預けたいと思うだろうか？ $btc #eth #defi #链上数据 #ai

すべてのDeFiの失敗がハッキングから始まるわけではありません。 Firelightは、コラテラルとローン資産の関係における不良債権や構造的損傷を含む、技術的および経済的な失敗をカバーします。 すべての主張は明確なトリガーとオンチェーンで検証可能な証拠によって裏付けられます。

バグバウンティプログラムは開始以来、多数の提出が寄せられています。 各報告に十分な対応を提供するため、現在キューの処理中であり、新規の提出を一時停止しています。プログラムが再開次第、改めてご案内いたします。 これまでご参加いただいた皆様、ありがとうございます。

ひー。「安全対策に$1Mを払える者のみ市場に残れ」 ＞MythosスキャンでPalo Alto Networksの自社ソースコードに20数件のcriticalな脆弱性を検出したが、そのために100万ドル超のトークンを消費。

Bitcoin。暗号通貨なし。 「DAOには、将来への有効な道筋がもうない。」 サイバー攻撃により約5,000万ドルの損失を被り、回復できなかったRadiant Capitalは事業を終了する。

ホワイトハット回収：研究者のFlorentがHongCoinチームと連携し、2016年のICO返金契約に閉じ込められていた約1,003 ETH（約200万ドル）を、レガシーのオーバーフロー／返金ロジックのバグにより解放しました。 #Ethereum #SmartContractSecurity

リエントランシーを解明する – 2026年もスマートコントラクトのバグが数百万ドルを継続して吸い取っている理由、そしてそれをコードで防ぐ「チェック・エフェクト・インタラクション」パターン リエントランシーは魔法ではない。これは順序のバグである：あなたのコントラクトが外部呼び出しを行った後に自身の状態を更新し、その隙間に攻撃者が再呼び出しを行う。順序を正せば、バグは消える。 2016年6月17日、The DAOはこの正確なミスにより約360万ETH（当時約6,000万ドル、存在していたETH全体の約5％）を失った。この影響でイーサリアムはETHとETCに分岐した。 10年経った今でも、資金は引き続き奪われている。2026年3月5日、Solv Protocolはリエントランシー攻撃により273万ドルを失い、2026年5月にはオンチェーンプロトコル全体で約5,200万ドルが盗まれた（DeFiLlama、CryptoTimes、2026年5月31日）。 脆弱なパターン：残高を読み取り、低レベルの呼び出しでETHを送信し、その後で残高をゼロに設定する。攻撃者のreceive()関数は、そのゼロが適用される前にwithdraw()を再入力し、コントラクトが空になるまでループする。 二つの対策（併用すること）： チェック・エフェクト・インタラクション。検証を行い、すべての状態を更新した後、外部呼び出しを最後に行う。balances[msg.sender] = 0を呼び出しの上に移動させると、再入力された呼び出しはゼロを読み取り、リバートする。 OpenZeppelinのnonReentrantガード。ストレージ上のミューテックス（NOT_ENTEREDからENTEREDへ）が再入力を検知してリバートする。一方だけではなく、両方を使用すること。 開発者が今も間違えがちな二つの点： 1. .transfer()はもはや盾ではない：2019年のEIP-1884でSLOADのガスが引き上げられたことで、2,300ガスの補助金が安全な前提ではなくなった。CEIとともに.call{value:}("")を使用すること。 2. 読み取り専用のリエントランシーは標準的なガードを回避する。更新中のview関数の読み取りは破損した状態を返し、価格オラクルを汚染する可能性がある（dForce、364万ドル）。 教育目的のみ。金融アドバイスではありません。 日々のインサイトをお見逃しなく – ブロックチェーンとAIが出会う場所、一つの満足感あるスワイプずつ。 #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation