Aerodrome FinanceとVelodromeは、それぞれEthereum Layer 2ネットワークのBaseとOptimism上で運営される主要な分散型取引所であり、週末に高度なセキュリティ侵害の被害に遭いました。この攻撃は、ドメイン名システム(DNS)の重大な脆弱性を突き、無防備なユーザーを詐欺サイトにリダイレクトし、ウォレットの承認を収集してデジタル資産を盗む仕組みでした。コアプロトコルは無事でしたが、この事件はDeFiの最も危険な脆弱性がスマートコントラクトにあるのではなく、それを支える中央集権的インフラに存在することを改めて示すものです。## 攻撃の概要：ユーザーが罠にはまった経緯この侵害は、中央集権的なドメイン登録業者の弱点を突いたDNSハイジャックキャンペーンによって展開されました。攻撃者は、aerodrome.financeやaerodrome.boxといった正規のドメインから、悪意のあるクローンサイトへとトラフィックを成功裏にリダイレクトし、元のプラットフォームをほぼ完璧に模倣したインターフェースを用意しました。これらの偽サイトを訪れたユーザーは、多段階のソーシャルエンジニアリング攻撃に巻き込まれました。見た目は無害な署名リクエストの後、NFTの転送、ETHの移動、ステーブルコインの動きに承認を求める攻撃的なプロンプトが続きました。この攻撃の巧妙さは、その層状のアプローチにあります。暗号セキュリティを破る必要のあるスマートコントラクトそのものを狙うのではなく、攻撃者はユーザーが信じていた公式ゲートウェイを侵害することで、人間の層を突きました。このDNSレベルのハイジャックは、技術的な安全策を完全に回避し、最も安全とされるブロックチェーンプロトコルでさえ、ユーザーインターフェースが侵害されれば脆弱になることを再認識させるものでした。## スマートDNSインフラ：見落とされがちな脆弱性プロトコルレベルのセキュリティを破る必要のあるオンチェーンの攻撃とは異なり、DNSの脆弱性は中央集権的なゲートキーパー層を攻撃します。スマートDNS管理は、DeFiセキュリティアーキテクチャにおいて重要かつ過小評価されがちな要素となっています。AerodromeとVelodromeへの攻撃は、中央集権的なドメイン登録業者への依存が、分散型プラットフォームにとって単一障害点を生み出すことを露呈しました。攻撃のタイミングは特に致命的でした。なぜなら、Aerodromeはちょうど「Aero」エコシステムとの統合計画を発表した直後であり、BaseとOptimismの両ネットワーク間の流動性を統合することを目的としていたからです。この戦略的な節目を祝う代わりに、両プロジェクトは危機管理モードに入り、ユーザーに対して中央集権的ドメインからの離脱と、aero.drome.eth.limoのような分散型の代替へ移行するよう警告しました。これらの取引所がこのような脅威に直面したのはこれが初めてではありません。2023年後半には、類似のフロントエンド侵害により、被害者のユーザーが30万ドルを超える損失を被った事例もあり、これはシステム的な脆弱性を示すパターンであり、孤立した事件ではないことを示しています。## ユーザーへの影響と直後の対応セキュリティの不安にもかかわらず、プロジェクトに対する市場の信頼は驚くほど堅調でした。統合されたエコシステムのネイティブ資産であるAEROトークンは、$0.57で取引され、24時間で+5.51%の上昇を記録し、投資家はこの侵害を根本的なプロトコルの失敗ではなく、管理可能な事象と見なしていることを示しています。Aerodromeチームは、ドメイン提供者My.boxと連携し、迅速に被害の拡大を抑制しました。侵害されたドメインへのアクセスを停止し、ユーザーを分散型ミラーやENSベースの代替へ誘導しました。Velodromeも同様の対応を行い、流動性プールやプロトコルのリザーブは完全に安全であり、ユーザー向けインターフェースだけが侵害されたと強調しました。## 資産保護：ユーザーに必要な対策両取引所は、影響を受けたユーザーに対して即時の防御策を強く推奨しました。主な推奨事項は、Revoke.cashのようなサービスを利用して最近のトークン許可を取り消し、攻撃者が侵害期間中に設置した不正アクセス経路を遮断することです。重要な防御手順は以下の通りです：- 不審なコントラクトの承認を即座に取り消す- 中央集権的ドメインを避け、代わりに分散型の選択肢を使用する- 取引インターフェースにアクセスする前に公式チャネル（(Twitter、Discord)）でURLを確認する- 高額取引にはハードウェアウォレットを使用する## 大局：中央集権化は依然としてDeFiの弱点この事件は、分散型金融の根本的なパラドックスを浮き彫りにします。プロトコルはますます分散化・安全性が高まる一方で、そのユーザーエクスペリエンスは中央集権的インフラに縛られ続けています。DNSプロバイダー、ドメイン登録業者、ウェブホスティングサービスは、攻撃者がオンチェーンのセキュリティに触れることなく悪用できる集中点です。これらの攻撃の連携性—二つの主要なDEXを同時に攻撃する事例—は、脆弱性の全体像に対する懸念を高めています。もし攻撃者が一つのプラットフォームのDNSインフラを侵害できれば、他のDeFiプロトコルも同様の手口で標的にされる可能性があります。今後もこのセクターが進化し続ける中、より強固なドメイン認証メカニズムの導入や、ENSのような分散型ネーミングシステムの普及、そしてユーザー教育の強化が求められます。DeFiプラットフォームが中央集権的なDNS提供者からの脱却に成功しない限り、この種の脅威は、真の分散化へ向かう業界の過渡期において避けられないリスクとして残り続けるでしょう。
DeFiフロントエンドが攻撃を受ける：DNS攻撃が分散型金融インフラの弱点を露呈させる
Aerodrome FinanceとVelodromeは、それぞれEthereum Layer 2ネットワークのBaseとOptimism上で運営される主要な分散型取引所であり、週末に高度なセキュリティ侵害の被害に遭いました。この攻撃は、ドメイン名システム(DNS)の重大な脆弱性を突き、無防備なユーザーを詐欺サイトにリダイレクトし、ウォレットの承認を収集してデジタル資産を盗む仕組みでした。コアプロトコルは無事でしたが、この事件はDeFiの最も危険な脆弱性がスマートコントラクトにあるのではなく、それを支える中央集権的インフラに存在することを改めて示すものです。
攻撃の概要：ユーザーが罠にはまった経緯
この侵害は、中央集権的なドメイン登録業者の弱点を突いたDNSハイジャックキャンペーンによって展開されました。攻撃者は、aerodrome.financeやaerodrome.boxといった正規のドメインから、悪意のあるクローンサイトへとトラフィックを成功裏にリダイレクトし、元のプラットフォームをほぼ完璧に模倣したインターフェースを用意しました。これらの偽サイトを訪れたユーザーは、多段階のソーシャルエンジニアリング攻撃に巻き込まれました。見た目は無害な署名リクエストの後、NFTの転送、ETHの移動、ステーブルコインの動きに承認を求める攻撃的なプロンプトが続きました。
この攻撃の巧妙さは、その層状のアプローチにあります。暗号セキュリティを破る必要のあるスマートコントラクトそのものを狙うのではなく、攻撃者はユーザーが信じていた公式ゲートウェイを侵害することで、人間の層を突きました。このDNSレベルのハイジャックは、技術的な安全策を完全に回避し、最も安全とされるブロックチェーンプロトコルでさえ、ユーザーインターフェースが侵害されれば脆弱になることを再認識させるものでした。
スマートDNSインフラ：見落とされがちな脆弱性
プロトコルレベルのセキュリティを破る必要のあるオンチェーンの攻撃とは異なり、DNSの脆弱性は中央集権的なゲートキーパー層を攻撃します。スマートDNS管理は、DeFiセキュリティアーキテクチャにおいて重要かつ過小評価されがちな要素となっています。AerodromeとVelodromeへの攻撃は、中央集権的なドメイン登録業者への依存が、分散型プラットフォームにとって単一障害点を生み出すことを露呈しました。
攻撃のタイミングは特に致命的でした。なぜなら、Aerodromeはちょうど「Aero」エコシステムとの統合計画を発表した直後であり、BaseとOptimismの両ネットワーク間の流動性を統合することを目的としていたからです。この戦略的な節目を祝う代わりに、両プロジェクトは危機管理モードに入り、ユーザーに対して中央集権的ドメインからの離脱と、aero.drome.eth.limoのような分散型の代替へ移行するよう警告しました。
これらの取引所がこのような脅威に直面したのはこれが初めてではありません。2023年後半には、類似のフロントエンド侵害により、被害者のユーザーが30万ドルを超える損失を被った事例もあり、これはシステム的な脆弱性を示すパターンであり、孤立した事件ではないことを示しています。
ユーザーへの影響と直後の対応
セキュリティの不安にもかかわらず、プロジェクトに対する市場の信頼は驚くほど堅調でした。統合されたエコシステムのネイティブ資産であるAEROトークンは、$0.57で取引され、24時間で+5.51%の上昇を記録し、投資家はこの侵害を根本的なプロトコルの失敗ではなく、管理可能な事象と見なしていることを示しています。
Aerodromeチームは、ドメイン提供者My.boxと連携し、迅速に被害の拡大を抑制しました。侵害されたドメインへのアクセスを停止し、ユーザーを分散型ミラーやENSベースの代替へ誘導しました。Velodromeも同様の対応を行い、流動性プールやプロトコルのリザーブは完全に安全であり、ユーザー向けインターフェースだけが侵害されたと強調しました。
資産保護：ユーザーに必要な対策
両取引所は、影響を受けたユーザーに対して即時の防御策を強く推奨しました。主な推奨事項は、Revoke.cashのようなサービスを利用して最近のトークン許可を取り消し、攻撃者が侵害期間中に設置した不正アクセス経路を遮断することです。
重要な防御手順は以下の通りです：
大局：中央集権化は依然としてDeFiの弱点
この事件は、分散型金融の根本的なパラドックスを浮き彫りにします。プロトコルはますます分散化・安全性が高まる一方で、そのユーザーエクスペリエンスは中央集権的インフラに縛られ続けています。DNSプロバイダー、ドメイン登録業者、ウェブホスティングサービスは、攻撃者がオンチェーンのセキュリティに触れることなく悪用できる集中点です。
これらの攻撃の連携性—二つの主要なDEXを同時に攻撃する事例—は、脆弱性の全体像に対する懸念を高めています。もし攻撃者が一つのプラットフォームのDNSインフラを侵害できれば、他のDeFiプロトコルも同様の手口で標的にされる可能性があります。
今後もこのセクターが進化し続ける中、より強固なドメイン認証メカニズムの導入や、ENSのような分散型ネーミングシステムの普及、そしてユーザー教育の強化が求められます。DeFiプラットフォームが中央集権的なDNS提供者からの脱却に成功しない限り、この種の脅威は、真の分散化へ向かう業界の過渡期において避けられないリスクとして残り続けるでしょう。