イーサリアムベースのレンディングサービス「bZx」で価格フィードが悪用され、63万ドル（約6900万円）相当のイーサが引き出された。
sUSDの価格フィードを操作
1週間足らずで2度目となった攻撃は協定世界時（UTC）2月18日午前3時過ぎ、攻撃者が7500イーサリアム（約198万ドル、約2億2000万円）のフラッシュローン（無担保ローンの一種）を行うことで始まったようだ。
7500イーサリアムのうち3518イーサリアム（約93万9300ドル、約1億円）を使ってステーブルコインのsUSD（SUSD）を購入し、bZxのローンの担保に使ったとあるアナリストはツイートした。
その後、900イーサリアム（約24万ドル、約2600万円）を使って流動性プロバイダーのカイバーネットワーク（Kyber Network）でのsUSDの価格フィードを2ドルに釣り上げた。これにより価値が高まったbZxの担保を使って、別のローンで6796イーサリアム（約180万ドル、約2億円）を借り、最初の7500イーサリアムのローンを返済し、残った2378イーサリアムを手に入れた。
CoinDeskのEther Price Indexによると、被害額は約63万3000ドル（約6900万円）に相当する。攻撃の始まりから完了まで、わずか1分強。sUSDがドル連動に戻った今、攻撃者が抱えるローンの担保は半分になった。
DeFi Pulseによるとこの攻撃の後、bZxで担保として取り扱われるイーサリウムは、4万イーサリアム（約1070万ドル、約11億円）から2万3000イーサリアム（約610万ドル、約7億円）へとほぼ半減した。
bZxの公式Twitterアカウントは「シンセティックス（Synthetix）でのフラッシュローンとトレードを使った疑わしい取引」を検知した後、4時38分（UTC）に取引を一時的に停止したことを認めた。bZxの広報担当者はテレグラムチャンネルで損失は同社が補填することを認めた。
今回の攻撃は、bZxがフラッシュローンを使った同様の攻撃で35万ドル（約3800万円）相当の仮想通貨を引き出された数日後に起きた。2つの攻撃が同じ人物あるいはグループによって行われたのかどうかはわからない。
フラッシュローンとは
DeFi（分散型金融）レンディングのほとんどでは通常、借り手は担保価値の約75％しか借りられない。これはユーザーのローン返済を促すことになるが、迅速にローンを清算するために貸し手にはきわめて高い流動性──時には多様な資産──が求められる。
フラッシュローンはトレーダーが貸し手に代わってローンを清算できるようにするもの。トレーダーは貸し手からローンを引き取り、負債を返済して預け入れ金を回収する。預け入れ金を使って元のローンを返済し、残った資金を手に入れる。
フラッシュローンは、今年初めからサービスを提供しているレンディングプラットフォームのAave Protocolなど、すでに他のDeFiプロジェクトでも始まっていた。
bZxは2月17日にフラッシュローン機能の提供を始めた。CEOのトム・ビーン（Tom Bean）氏はフラッシュローン導入を擁護した。
「誰の目にも明らかだが、bZxのフラッシュローン機能がこの攻撃を可能にしたわけではない。正しく機能し、dydxとAaveのフラッシュローンに交換に使われた単なるツールに過ぎない」と同社のテレグラムチャンネルに記した。
bZxのチーフ・ビジョナリー・オフィサーでオペレーション・リーダーのカイル・キストナー （Kyle Kistner）氏もテレグラムで、フラッシュローンを利用したハッキングは「完全に操作しやすい」ものだったと認めた。同氏はbZxはChainlinkを統合して価格フィードを多様化し、参照元となる外部情報の操作が再び起こることを防ぐ計画を加速させると強調した。
bZxの広報担当者はエンジニアチームとともに不正操作を解決しようとしているとCoinDeskに語った。我々はビーン氏とキストナー氏にコメントを求めたが返答はまだない。
翻訳：下和田 里咲
編集：増田隆幸
写真：Credit: Shutterstock/Vintage Tone
原文：DeFi Project bZx Exploited for Second Time in a Week, Loses $630K in Ether
