8000万ドル流出のバグ、DeFiユーザーの「道徳的ジレンマ」を生む

分散型金融（DeFi）プロトコルが誤ってユーザーに数百万ドル相当のトークンを送信したら、そのユーザーには返却の義務があるだろうか？

8000万ドル相当の被害を受けた後のCoinDeskとのインタビューで、コンパウンド・ラボ（Compound Labs）の創設者ロバート・レシュナー（Robert Leshner）氏は、その場合にはユーザーはとにかく返却するべきだ、と主張する。

9月29日、マネーマーケットのコンパウンドのコードに存在したバグによって、長期的な流動性マイニング報酬のためのCOMPトークンが、誤って分配された。

コンパウンドのツイッターアカウントでは、すぐにバグを認め、ユーザーの資産はリスクにさらされていないと説明した。バグは、時間をかけて獲得された流動性マイニング報酬を分配するために使われる、コンパウンドの「Comptroller Contract」だけに存在していたのだ。

レシュナー氏によれば、28万のCOMPがユーザーに誤って分配されたことによって、Comptroller Contractのほぼすべてが空となってしまった。

しかし、バグによって失われた驚くような金額にも関わらず、コミュニティーは現在、ユーザーがどうするべきかという議論に夢中になっている。

「間違いなく、コンパウンドプロコトルの歴史上最悪の1日だった」とレシュナー氏は語った。「さらに事態を悪化させているのは、私やほとんどの人は、この道徳上のジレンマがどのように展開するのかを見守る以外に、完全に無力だということだ」

IRSを使った脅し

30日のツイートの中でレシュナー氏は、誤ってトークンを受け取ったユーザーに対して、実際上の影響がある可能性を警告した。つまり、米内国歳入庁（IRS）が話を聞きたがるかもしれないと、脅しをかけたのだ。

If you received a large, incorrect amount of COMP from the Compound protocol error:

Please return it to the Compound Timelock (0x6d903f6003cca6255D85CcA4D3B5E5146dC33925). Keep 10% as a white-hat.

Otherwise, it’s being reported as income to the IRS, and most of you are doxxed.
— Robert Leshner (@rleshner) 2021年10月1日

「コンパウンドプロトコルのエラーによって誤って大量のCOMPを受け取った場合：
コンパウンドのTimelock（0x6d903f6003cca6255D85CcA4D3B5E5146dC33925）に返却し、10%は善意への報酬として取っておいてください。
返却しない場合には、IRSへ収入として報告され、個人情報も提出されます」

DeFiコミュニティーのメンバーの中には、コンパウンド・ラボがトークンの受け取り手を税務当局に報告する計画と読み取った人たちもいた。レシュナー氏はこのツイートについて、すぐに謝罪した。

過去には、弱点やエラーによる被害に対処する方法として「情報をさらす」ことが効果を発揮してきた。

先月には、ノンファンジブル・トークン（NFT）チームがハッカーの自宅にスープの配達を頼み、FBI（米連邦捜査局）を呼ぶと警告する印象的な一件があった。この場合ハッカー側が折れ、盗んだ資産を返却した。

しかし、今回の場合には、組織がトークンの受け取り手を追求したいと願っても、口先だけの脅しとなるかもしれない。

コンパウンド・ラボは、プロトコルに取り組む実際の組織であるが、法的措置に訴えるような明確な根拠を持たない。コンパウンド・ラボの担当者によれば、自律分散型組織（DAO）の仕組みによって、コミュニティーのメンバーの一員に過ぎないものになっているのだ。

担当者はまた、コンパウンドのインターフェイスは分散型ファイル保存プロコトルの「InterPlanetary File System：IPFS」にホストされており、報告可能なユーザーについての情報は、どんな形でも収集されていないと説明した。

今回のバグでは、トークンの受け取り手の多くは熟達したハッカーではなく、たまたま大当たりのくじを引いただけなのだ。

rhetorical question:

what if someone was really that ignorant and disconnected and did not know that their COMP jackpot was due to a bug

are users obliged to know the “intent” of the devs behind every function?

mind you, intent is the difference between murder and manslaughter
— 찌 G 跻じ ( 𝙃𝙚𝙣𝙩𝙖𝙞, 𝙎𝙚𝙣𝙥𝙖𝙞 ) (@DegenSpartan) 2021年10月1日

「答えを求めていない問いかけ：
すごく無知な人がいて、接続を絶ってしまって、受け取ったCOMPトークンがバグによるものだと知らなかったら？
あらゆる機能の裏にある開発者の『意図』を知る義務がユーザーにはあるのだろうか？
言っておくけど、殺人と過失致死を分けるのは意図だ」

トークンを受け取ったユーザーのセキュリティー仕様は、ハッカー級のものではない。大量のトークンを受け取ったアドレスの一部は、実世界での情報が保管されている中央集権型取引所ともやり取りをしており、受け取ったトークンは税務上の影響があるかもしれない。

トークンの受け取りにはバグの知識は必要なく、異常が起こっていることを知らなかったユーザーもいるだろう。報酬としてもっと少ない額を獲得しようとしながら、何百万ものトークンを受け取ったのかもしれないのだ。

解決策を見つけるために、DeFiコミュニティーがコンパウンドの下に結集してくれたと、レシュナー氏は語る。ヤーンファイナンス（Yearn.Finance）やメイカーダオ（MakerDAO）の関係者は、短期・長期的解決策を見つけようと、コミュニティーチャンネルで活発に活動している。

しかし、コンパウンドは「非常に柔軟性に欠けた」スローなガバナンスプロセスを持つように作られている。プロトコルのレジリエンス（回復力）を強固にするためのアーキテクチャが、バグ修正の妨げとなってしまっているのだ。コミュニティーがコントラクトコードへのアップデートを承認するには、まだ数日かかる。

しかし、当初のバグに対する技術的解決策は別としても、コンパウンドは現在、より大きな問題に直面している。トークンを受け取ったユーザーを、コミュニティーにそのトークンを返却するように説得することだ。

「私の意見では、一部の人が有利となった銀行のエラーのようなものだ」と、レシュナー氏は話す。「故意に犯罪的な要素がなかったために、より困難なのだと思う。コードに意図的につけ込んだハッカーがいたのなら、あらゆる手段でハッカーを追跡することを人々は称賛しただろう。今回トークンを受け取ったユーザーは、最初から悪意があった訳ではない」

道徳上のジレンマ

問題は、法的な義務ではなく、倫理的な義務によって、ユーザーは資産を返却するかという点にあり、暗号資産コミュニティーでは大きな議論が巻き起っている。

「コードは法律だ」というのが人気の解釈の1つだ。つまり、意図に関わらず、プロコトルがトークンを分配したのであり、ユーザーは好きなようにそれを使うことができるというのだ。

しかし、「公共財」という考え方に訴える人たちもいる。世界中の誰もがローンを引き出せるようなオンチェーン銀行から不正にお金を得ることは、DeFiの最も高次な理想に半するものだという主張だ。

レシュナー氏は、CoinDeskとのインタビューにおいて、今回の道徳的ジレンマは、2つのサイドに大まかに分けることができると語った。

「コンパウンドのようなプロトコルが、エコシステム全体に恩恵をもたらしていると考える人が、コミュニティー内には多く存在する」とレシュナー氏は指摘する。

「あまり気にしないユーザーもいる。開発者の考え方は、『これは価値を加える、これは非常に重要だ』というもので、トレーダーの考え方は『お金はお金』」というもので、それが暗号資産の唯一の精神だ。個人的には、ユーザーがコミュニティーにトークンを返却することを願っている。私の財産ではなく、彼らの財産でもない。コミュニティーの財産なのだ」（レシュナー氏）

これまでのところ、当記事執筆時点で1200万ドル以上に相当する合計3万7493COMPを、2人のユーザーが返却した。

「受け取ったCOMP返却のインセンティブをさらに強めるためのアイディアもある」とレシュナー氏は述べたが、一部のインセンティブプログラムも「人が正しい行いをすることに頼るもの」となると認めた。

すでにいくつかのインセンティブが提案されており、その1つはレシュナー氏と会うことに使えるNFTだ。このアイディアには、レシュナー氏も大いに賛同している。