2025年5月22日、Suiブロックチェーン上で最大の分散型取引所（DEX）であるCetus Protocolが、約2億2,300万ドル（約321億円）規模のハッキング被害を受けました。
今回は、この攻撃の詳細から、Suiバリデータが行った意思決定、過去のハッキング事例との比較について解説します。
※本記事の内容は、マネックスクリプトバンクが週次で配信しているニュースレター「MCB FinTechカタログ通信」の抜粋です。毎週月曜17時に配信しており、無料でご購読いただくと、FinTech・Web3の注目トピックスを解説するニュースレターに加え、注目の特集記事、ビットコイン最新動向や相場予想などもお読みいただけます。
目次
整数オーバーフロー攻撃によるDEX攻撃
今回のCetus Protocolに対するハッキングには、コントラクトが利用していたライブラリに含まれていた、「整数オーバーフロー（Integer Overflow）」と呼ばれる脆弱性が利用されました。これは、プログラムが処理できる数値の上限を超えて計算した際に、予定外の値が生まれる現象です。
オンチェーンセキュリティ企業であるSlowMistの分析によると、攻撃者はこの脆弱性を突き、フラッシュローン（無担保で巨額の資金を一時的に借り入れる仕組み）を利用して攻撃を仕掛けました。具体的には、コントラクトに含まれるchecked_shlwという関数の欠陥を悪用し、わずか1トークンの入金によって、数十億ドル相当の流動性を一時的に獲得しました。
これにより、攻撃者はCetus Protocolがコントラクトを停止する前に、1,290万SUIや6,000万USDCなどを含む、推定で2億2,300万ドルもの資産をプロトコルから引き出すことに成功したとされています。
ガバナンスによる資金回収
ハッキング後、Suiネットワークの取引を検証・承認する役割を担う「バリデータ」によって、ハッキングによる被害を受けた資産を凍結し、回収するためのオンチェーンガバナンス投票を実施しました。この投票では、バリデータ全体のうち92%が賛成を行い（賛成99票、反対2票、棄権2票）、賛成多数によって可決されました。
この決定に基づき、被害を受けた資産のうち約1億6,200万ドルが、CetusやSui Foundation、OtterSecが管理するウォレットへ送金されました。
その後、Cetusは回収した資金に加え、準備金である700万ドルとSui Foundationからの3,000万ドルの融資を元手に、6月8日にはプラットフォームを再開したと報じられています。影響を受けた流動性プールについて、すでにハッキング前の85〜99%まで回復しており、残りの不足分については独自トークンであるCETUSを12ヶ月かけて分配することで補填するとしています。
Ethereum「The DAO事件」との相違点
ブロックチェーンの歴史において、今回のような対応には前例があります。2016年に起きたEthereumの「The DAO事件」です。当時、約6,000万ドル相当のETHが盗まれ、コミュニティは資産を回収するために「ハードフォーク」というブロックチェーンの強制的な分岐を選択しました。
しかし、この対応はコミュニティ内で大きな対立を生みました。ブロックチェーンの取引履歴は、一度確定（ファイナリティ）を行った後は変更不可能であるべきであり、たとえハッキングによる資産を回収する目的であっても、ハードフォークによって取引履歴を書き換えるべきではないと主張する人々が反発したのです。その結果として、ネットワークは「Ethereum（ETH）」と「Ethereum Classic（ETC）」に分裂する事態となりました。
一方、今回のSuiの事例では、コミュニティ内で大きな反対意見は見られず、迅速に合意形成が行われたという点で異なります。CETUSトークンの価格は事件後に約44%下落しましたが、コミュニティの分裂は避けられました。これは、The DAO事件を経て、エコシステムの維持とユーザー保護という実利的な判断を優先すべきだとする、ブロックチェーンユーザー（主にバリデータ）の意識変化の表れかもしれません。
考察
Suiコミュニティによる資金回収は、多くのユーザー資産を保全した一方で、ブロックチェーンの在り方について重要な論点を提示しています。特定の主体（バリデータ）が取引を覆すことができるのであれば、それは中央集権的なシステムとどう違うのか、という点です。
今回の迅速な意思決定の背景には、Suiが採用するDelegated Proof of Stake（DPoS）という、比較的少数のバリデータに権限が委任される構造があると考えられます。これは効率的なガバナンスを可能にする反面で、権力が集中するリスクも伴う、トレードオフの関係性となっています。
Suiの事例は、今後他のブロックチェーンが同様のハッキングに直面した際の比較対象となるでしょう。たとえば、より多くのバリデータが存在しており、コンセンサスアルゴリズムが分散化されているチェーンでは、これほど迅速な対応は困難かもしれません。
この一件からDeFiユーザーが学ぶべきは、投資対象の利回りや手数料だけでなく、その基盤となるブロックチェーンがどのようなコンセンサスアルゴリズムを持ち、非常時にどのような意思決定プロセスを辿るのかを理解しておくことの重要性です。自らの資産を守るためのリスク管理の一環として、今後も必要であり続けることが想定されます。
解説コメントを毎週お届けする「MCB FinTechカタログ通信」
毎週月曜17時に配信。無料でご購読いただくと、FinTech・Web3の注目トピックスを解説するニュースレターに加え、注目の特集記事、ビットコイン最新動向や相場予想などもお読みいただけます。
