分散型金融のメーカーダオ、すべての資金を失う重大な不具合見つかる |バグは修正済み、発見者に賞金付与

脆弱性検証プラットフォーム「ハッカーワン(HackerOne)」のユーザー「lucash-dev」は10月1日、ステーブルコイン「DAI(ダイ。Dai)」を発行する分散型金融(DeFi)プロジェクト「メーカーダオ(MakerDAO)」が次期バージョンで計画している「MCD(複数担保Dai。Multi-Collateral Dai)」アップグレードの重大な不具合を明らかにしたレポートを公開した

この不具合により、悪意のある攻撃者は、MCDシステムに保存されているすべての資金を(1回の取引で)盗めた可能性があったという。現在メーカーダオによりGithubで修正されており、lucash-devには賞金として5万ドル(約534万円)が授与された。

メーカーダオは、スマートコントラクトとコードで完全に管理する分散型自律組織(DAO)。DAI(Dai)は仮想通貨の1種で、1米ドル=1DAIで交換できるよう設計された、仮想通貨イーサリアム(ETH)のERC-20規格を基にしたステーブルコインだ。

ユーザーは、メーカーDAOの独自スマートコントラクト「CDP(Collat​​eralized Debt Positions、担保付債務ポジション)」を利用し、ETHを担保資産にローンを組成してDAIを発行する形態を採用しており、その手数料としてMKR(ユーティリティトークン)が必要になる。

MCDは、メーカーダオが次期バージョンとして計画しているアップグレードで、DAI以外にもERC-20規格で作成された複数の仮想通貨をCDPで扱えるようになる予定という。

今回の不具合は、(一般的な)ユーザーにはアクセスできないMCDアップグレードテスト段階で発見された。lucash-devのレポートによると、メーカーダオのスマートコントラクトは、(資金に対する)アクセス制御が完全に欠如しており、第三者による攻撃が可能であったという。

「(実装の一部の)flip.kickメソッドが検証を行わないため、(MCDにおいて)攻撃者は偽の入札値でオークションを作成できる。endコントラクトはその価値を信頼しており、清算中に任意の数量の無料DAIを発行するために悪用される可能性がある。攻撃者は、この任意の数量のDAIとして、endコントラクトによって保存されているすべての資金を取得できる」

翻訳・編集 コインテレグラフ日本版