セキュリティ企業CertiKによると、フラッシュローンで資金調達されたオラクル攻撃がCoreVaultの償還を歪め、プロトコルのInsurancePoolを枯渇させ、価格入力の障害をBNB Smart Chain上での即時の償還流動性イベントへと変えた。デポジッターおよび流動性提供者にとって中心的な問題は、攻撃者の抽出額そのものではなく、プロトコルが事実を確認する間、償還経路、そのオラクルの安全装置、そしてバックストッププールが安全に利用可能なままであるかどうかである。

CertiKの報告内容

2026年11月4日に公開されたアラートで、CertiK Alertはフラッシュローンで資金調達されたオラクル攻撃によりCoreVaultの償還額が約33倍に引き上げられたと報告した。この数字はセキュリティ企業による帰属であり、独立して確認されたCoreVaultの事後分析ではない。それでも、この規模の償還結果は、プロトコルの計算が経済的に歪んだ価格または変換入力を受け取ったことと整合する。

CertiKはさらに、この操作でInsurancePoolが枯渇し、攻撃者が取引を反転した後、同社の評価で約112.2Kドルに相当する160.26 BNBを保持したと述べた。フラッシュローン型のエクスプロイトでは、ポジションは単一の取引の実行ウィンドウ内で構築され解消されるため、保持された収益は、対象プールを通過した総資金とは大きく異なる可能性がある。事実であれば、InsurancePoolの枯渇は抽出額をはるかに超えて重要である。損失を吸収したり償還を支援するために設計された準備金は、次の悪いバランスシートイベントを緩和するものと期待できなくなるからである。

報告された経緯と確認済み記録の対比

CertiKのアラートは、疑われたエクスプロイト取引0x072a10a579e2a8afa26a681205a2aaaa38f74bcb9d1064b12bd9e9ebe2c598b3をBscScan上でリンクしている。調査時点でエクスプローラーのトレースは独立して読み取ることができなかったため、フラッシュローンの完全な経路、関与したオラクル呼び出し、影響を受けたコントラクト、残高の流れ、および主張された取引の反転は、入手可能な証拠からは未確認のままである。

ボルト設計において、オラクルが唯一の会計入力でなくても深刻な償還ミスマッチを引き起こし得る。侵害された、または十分に堅牢でない入力は、償還関数が使用する資産価値やシェア換算項を歪める可能性がある。したがって、報じられた償還額の引き上げが重要な観察可能なリスクシグナルであり、正確な根本原因——スポット価格への依存、古いデータ、弱い流動性の前提、または別の統合障害——は確定していない。

フラッシュローンがオラクル操作リスクを増幅する仕組み

フラッシュローンとは取引スコープの借入である。流動性は取引が完了する前に借入、使用、返済されるか、状態遷移全体が取り消される。CertiKが説明した経緯では、その一時資本が、攻撃者がポジション全体を事前に資金調達することなく、オラクル関連の市場状況を動かしたり悪用したりするために必要なバランスシート上の重みを供給したとされている。

資金調達とオラクル状態は別の問題

ローン自体はオラクルの欠陥の証拠ではない。セキュリティ上の問題は、CoreVaultの償還ロジックが、同一のアトミック実行ウィンドウ内で経済的に影響され得る価格、流動性の深さ、または変換入力を信頼したかどうかである。CertiKが報告した償還額の引き上げは異常な出力の証拠であり、制御障害の開示された説明ではない。

この区別は流動性提供者にとって重要である。フラッシュローンアクセスの一時停止は、仮に技術的に可能であったとしても、それ自体では安全でない評価依存を修復しない。報じられたInsurancePoolの枯渇は、むしろプロトコルの損失配分の順序に注意を集中させる。残りの準備金より前にどの負債が位置し、LPまたはボルトシェアの会計が再計算されたかどうかをユーザーは知る必要がある。

価格操作インシデントは、報じられたNostra Financeのマネーマーケット攻撃を含め、DeFiの他の場所でも同様の懸念を引き起こしてきた。CoreVaultの報告は範囲がより狭いが、その償還への影響は同じプロトコル設計上の断層線を浮き彫りにする。操作された評価額の下で利用可能に見える流動性は、通常のアービトラージ参加者が価格を回復できる前に引き上げられ得るのである。

CoreVaultユーザーが注視すべき点

公開時点の記録では、CoreVaultからの公式発表、コントラクトアドレスの開示、一時停止のお知らせ、ユーザーへの影響に関する声明、復旧計画はいずれも確認されていなかった。したがってユーザーは、検証済みのプロトコル通信または帰属可能なセキュリティ提供者の更新が別の情報を示すまで、償還の現状を未知のものとして扱うべきであり、インターフェース上の取引が成功したことから安全性を推測すべきではない。

実務的な監視リストは簡潔である。償還の可用性、オラクルまたは価格パラメータの更新、InsurancePool残高の変化、影響を受けたコントラクトと復旧計画を特定する事後分析である。さらに2つのフォローアップ項目が同等の重みを持つ。独立したオンチェーン分析がCertiKの取引単位の説明を裏付けるか修正するか、そしてプロトコルがInsurancePoolを再資本化するか、準備金が償還を担保する仕組みを再構築するかである。報じられた枯渇により、これらの項目は二次的な市場解説よりも重要である。残りの流動性が正当な純資産価値で退出に応じられるかどうかを決めるのはこれらだからである。

確認済みの報告と未解決の疑問

検証済みの記録はCertiKのアラートに限られる。同社は償還額の引き上げ、InsurancePoolの枯渇、反転後の収益を報告したが、対象取引は独立して解析されていない。CoreVaultが運営を一時停止した、ユーザーに補償した、コントラクトをアップグレードした、損失額を明示したという主張は、そのようなプロトコル声明が証拠に含まれていないため、時期尚早であろう。

より広いセキュリティの文脈として、CertiKのダッシュボードは、最終更新2026年11月4日と表示され、2026年11月の主要数値期間における総損失額として183.0Mドルを表示していた。このダッシュボードの数字はCoreVaultへの帰属ではなく業界の文脈であるが、未検証のインシデント通知であっても、オラクルへの露出と出金管理の慎重な見直しを促すべき理由を示している。

プロトコルのリスク評価

差し迫ったスマートコントラクトリスクは、償還とオラクルの境界、および報じられた枯渇後のInsurancePoolの可用性に集中している。ガバナンスは現在、パラメータ、オラクル設計、緊急権限、準備金配分ルールの変更が必要かどうかを判断しなければならない。次のガバナンス投票の日付は入手可能な証拠からは確認されていない。DeFi全体で、この境界の強化は一般的に、時間加重平均価格、複数ソースのオラクルフィード、定義された帯域外のQuoteを拒否する逸脱チェック、または異常検知により発動される出金管理という形をとる——入手可能な証拠からは、CoreVaultがこれらのいずれを採用しているかは確定していない。

CoreVaultが帰属可能なコントラクト単位の調査結果を公表するまで、流動性は、単一の償還経路、価格依存、またはバックストッププールが退出能力を支配するあらゆる場所で集中リスクにさらされている。デポジッターと流動性提供者は、投機的な回復の前提よりも、検証済みの償還ステータスとガバナンス承認済みの復旧措置を優先すべきである。特に、報じられた異常な償還が共有担保会計に影響を与えたとプロトコルが確認した場合にはそうである。

この記事はもともとDefiLibanで公開されたものです。