SlowMist、Aave v3のLoop Safe Module悪用を警告　114.09 ETH流出

ブロックチェーンセキュリティ企業SlowMistは、Aave v3の「Loop Safe Module」が悪用され、約114.09 ETHが盗まれたとする警告を公表した。Aave利用者やオンチェーンリスクを監視するDeFi参加者に対し、進行中のセキュリティ事案として注意喚起している。 SlowMistによると、影響を受けたのはAave v3の中核レンディング基盤そのものではなく、その上に構築された補助レイヤーであるLoop Safe Module。一定の安全域のもとでループ型のレバレッジ取引を実現するための仕組みで、Aaveのコアプロトコル契約の侵害とは別事象と位置づけられる。 現時点で、悪用手法や攻撃者の特定は示されておらず、詳細は未確認のまま。Aave v3上でループ系ストラテジーを利用しているユーザーは、関係する開発チームから公式の事後分析（ポストモーテム）が公表されるまで、SNSなどで拡散される未確認の対処手順に安易に従わないよう求められる。 こうしたモジュール型の侵害は、ベースとなるプロトコルではなく、その上に載る補助・ラッパー契約が攻撃面になるという点で、オンチェーン分析者が指摘したResolvLabsのUSRを巡る疑義事案と構造が近い。 流出額は約114.09 ETHとされる。SlowMistの警告では米ドル換算は提示されておらず、公開時点で参照可能なイーサリアムの市場データも確認できないため、本稿では根拠のない換算額の掲載を避ける。 Aave v3のコアレンディングプールが影響を受けたかどうかは確認されていない。この切り分けは、メインのAave v3市場で担保・債務ポジションを直接保有するユーザーと、上乗せモジュール（ループ／レバレッジ機能）を利用するユーザーでリスクが異なるため重要だ。Aave v3のループ系プロダクトにポジションを持つ場合、Aaveのガバナンスやセキュリティに関する公式発信を基に、影響範囲の確認が推奨される。 スマートコントラクトの事故は、必ずしもコアロジックから発生するとは限らない。Arbitrum上のGMXで発生した4,200万ドル規模のエクスプロイトや、BigONE取引所での2,700万ドル規模のハッキングは、モジュール、ラッパー、あるいはオフチェーン連携といった周辺要素が脆弱性の起点となり得ることを示している。BigONEのホットウォレットを巡る事案でも、周辺コンポーネントが独立した攻撃面となり、監査の厚みがコア契約と同等とは限らない点が浮き彫りになった。 分散型プロトコルのセキュリティという観点では、コンポーザビリティ（組み合わせ）リスク評価のギャップが改めて示された。補助モジュールは、包み込む側の監査済みプロトコルから暗黙の信頼を引き継ぎやすい。オンチェーンAIエージェント基盤や自動化されたDeFi戦略のように、ループモジュールとプログラム的に連携する仕組みは、実行中にモジュールが侵害された場合の被害が増幅し得る。明示的なサーキットブレーカーのロジックがなければ、自動のポジション管理は自律的に停止できないためだ。 免責事項：本稿は情報提供を目的とするもので、金融・投資助言ではない。暗号資産およびデジタル資産市場には大きなリスクが伴う。意思決定の前に必ず自身で調査を行うこと。