AIの普及で攻撃者が防御側を上回る構造に、チェイナリシス指摘

チェイナリシスによると、過去半年間で未検証のスマートコントラクトを実行するプロトコルから、攻撃者が少なくとも3670万ドルを盗み出した。AIによる攻撃手法の高度化が被害増加の要因とみる。

大規模言語モデル（LLM）は現在、デコンパイル済みバイトコードを人間には到底不可能な速度と規模で解析できる。これにより、従来は攻撃者の標的となりにくかった非公開ソースの契約も、系統的な攻撃対象となった。

なぜ隠されたコードがDeFiプロトコルの防御とならなくなったか

主要な分散型金融（DeFi）プロトコルの多くは、ブロックエクスプローラー上にソースコードを公開・検証している。ただ一部はコードを非公開とし、「秘匿性」が攻撃の抑止力になると期待してきた。

チェイナリシスはこの戦略が破綻しつつあると指摘する。デコンパイラのDedaub、Heimdall、Panoramixなどは既に生のバイトコードを可読なSolidityコードへ変換可能となっている。

デコンパイル後のコードは、LLMへ直接入力され、リエントランシーの不具合やアクセス制御の欠陥、計算ミスを指摘される。

これらのモデルを自動化パイプラインに組み込めば、未検証の契約数千件を一度にスキャン可能となる。検出後は、攻撃の実現可能性や期待収益でターゲットを選別する。

またAnthropicも、AIが今や技術力の低いハッカーでも高度な攻撃工程を 自動的に遂行できると確認しており、全体的な脅威レベルの上昇を指摘した。

一方で未検証契約は、オープンソースコードを保護する非公式なセキュリティレイヤーも回避している。ホワイトハット研究者もコードを読めず、ハッキング被害に遭った複数プロトコルでは、バグ報奨金制度からこれら契約が除外されていた。

Xでフォローし、最新ニュースをリアルタイムで入手

Truebit事件が露呈した計画的な脆弱性探索の実態

最大の事件は1月8日に発生し、攻撃者がTruebitから2620万ドルを引き出した。問題の契約は2021年からイーサリアム（ETH）上で未検証のまま放置されていた。

ボンディングカーブにおける整数オーバーフローにより、攻撃者はほぼ無償でトークンをミント、その後実際のETHに交換することができた。同一アドレスは12日前にもSparkleプロトコルから5ETHを引き出していた。

同時にAnthropicの調査では、AIエージェントが数百万ドル規模のスマートコントラクト攻撃を自律的に実行できることが示された。こうした攻撃はモデルの知識カットオフ以降に展開された契約も含む。セキュリティ専門家は既に、「AIエージェントがDeFi市場で人間の監査担当者を上回っている」と警鐘を鳴らしている。

チェイナリシスは、デコンパイルツールの進化や未検証契約の増加によりその傾向が加速すると見ている。すべてのデプロイ済みコードの検証、バグ報奨金の対象拡大、リアルタイムのオンチェーン監視導入をプロトコル側に強く呼びかける。

YouTubeチャンネルに登録し、専門家や記者によるインサイトを視聴