SolanaプロトコルLoopscale、1週間にわたるAPI攻撃を受け運用を停止
重要ポイント
- •Loopscaleは、高度な攻撃者による1週間のキャンペーンでAPIに1日あたり3万件を超える悪意あるリクエストが送られた後、プロトコルの全活動を一時停止した。
- •担保価格のエクスプロイトにより、攻撃者はkySOLトークン1個をzBTCとして誤認させ、4,597 SOLを引き出し、ブリッジでプロトコル外へ移動させた。
- •影響を受けたGenesis Vaultsは復旧されており、Loopscaleは停止期間中にユーザーの預け入れ資産へ損失が発生していないと報告している。
- •Loopscaleは攻撃に関連する4つのアドレス(Solana形式2件、Ethereum形式2件)を特定し、連邦法執行機関およびセキュリティ専門家と連携している。
- •これは2025年4月以来2度目のGenesis Vaultsに影響する価格関連インシデントであり、調査の完了とセキュリティ強化の実施まで通常運用は一時停止のままとなる。
SolanaベースのレンディングプロトコルLoopscaleは、アプリケーションプログラミングインターフェース(API)と、SOLおよびUSDCのユーザー預け入れ資産を保有するGenesis Vaultsを標的とした1週間にわたる攻撃キャンペーンを受け、運用を停止した。同プロトコルによると、この持続的なキャンペーンにおいてAPIには1日あたり3万件を超える悪意あるリクエストが送られ、チームはこれを高度な攻撃者によるものと説明している。影響を受けたボールトはその後復旧され、ユーザーの預け入れ資産への損失は報告されていない。
セキュリティの悪化を受け、プロトコル全体を一時停止
Loopscaleによると、同社のセキュリティシステムは過去1週間にわたり攻撃キャンペーンの顕著な悪化を検知し、脅威を封じ込めるためプロトコルの活動を一時停止した。攻撃者は特に同プロトコルのSOLとUSDCのGenesis Vaultsを狙っており、持続的なリクエスト活動は高度な攻撃者によるより広範なキャンペーンの一環だったという。チームはセキュリティリスクの高まりを確認したうえで停止を決定した。APIはアプリケーションやサービスがプロトコルと通信するためのインターフェース層であり、このレベルへの攻撃はオンチェーンの残高に直接触れることなくプラットフォームの運用を混乱させ得る。これは、ユーザーの預け入れ資産が終始保護されていたというチームの報告とも一致している。
同プロトコルは2026年11月5日にXへ投稿した声明でこのキャンペーンを公表した:
過去1週間、Loopscaleは高度な攻撃者による持続的なキャンペーンの標的となっており、プロトコルのAPIには1日あたり3万件を超える悪意あるリクエストが送られています。預け入れられたユーザー資金はすべて保護されています。先に、当社のセキュリティシステムは大きな悪化を検知しました…
— Loopscale (@Loopscale) 2026年11月5日
kySOLの価格ミスマッチにより4,597 SOLの借用が可能に
研究者らはまた、ボールト内で担保として使用されるリキッドステーキングトークンkySOLに関わる担保価格のエクスプロイトを突き止めた。担保付きレンディングでは預け入れ資産を正確に評価することが不可欠である。借入可能額はその評価額を基準に決められ、トークン量は数値として記録されるため、小数点の誤解釈によりポジションの記録価値が急激に水増しされる可能性がある。今回のエクスプロイトの核心にはこの仕組みがあった。攻撃者はkySOLトークン1個をzBTC担保として誤認させ、その後の小数点の不一致により、当該トークンの記録価値が急増した。
この価格の食い違いにより、攻撃者は誤認された担保を用いて4,597 SOLを引き出すことができた。攻撃者はその後、引き出した資金をブリッジでプロトコル外へ移動させた。Loopscaleによると、担保分類の誤りがボールトの評価プロセスを歪め、誤って評価された担保を担保に資金へアクセスすることを可能にしたという。同プロトコルはまだ通常運用を再開していない。
調査の継続の中、影響を受けたボールトは復旧
エクスプロイトの発生にもかかわらず、Loopscaleは影響を受けたボールトが完済・復旧されたことを確認した。チームはユーザーの預け入れ資産に損失が発生していないと述べ、停止期間を通じてすべての預け入れ資金が保護されていたことを再確認した。実質的に、今回のインシデントの影響は運用面のものであり、プラットフォーム自体がオフラインの間も預け入れ資産は復旧されていた。
同プロトコルは近いうちにインターフェースを再有効化する計画で、返済機能もできるだけ早く復旧させる見込みだ。Loopscaleは、停止が続く間の予期せぬ清算を防ぐため、返済の復旧を優先事項としていると説明した。ただし、通常運用は調査がキャンペーンの全容を確定させるまで一時停止のままとなる。チームはまた、プロトコルの再開前に追加のセキュリティ強化を実施する意向であり、これらの措置は復旧プロセスの一環である。現在の復旧の指標となるのは、インターフェースの復旧、返済機能の復旧、キャンペーン範囲の把握完了、そして再開前に予定されているセキュリティ強化作業である。
Loopscaleは攻撃に関連する4つのアドレスを特定しており、連邦法執行機関およびセキュリティ専門家と連携している。公表されたアドレスには、Solana形式のアドレス2件とEthereum形式のアドレス2件が含まれる。チームは完全な運用再開の時期を発表していない。
2025年4月以来2度目の価格関連インシデント
今回のインシデントは、2025年4月に同じGenesis Vaultsで発生した価格関連の出来事に続くものであり、これにより同年以降、当該ボールトに影響を与えた価格関連インシデントは2件目となった。この再発により、kySOLインシデントで悪用されたボールトの価格評価の仕組みと、今週のキャンペーンで標的となったAPI層が、チームのセキュリティ強化作業の進展の中で精査を受けることとなっている。Loopscaleは、関連情報および重要な更新情報を随時共有し続けるとしている。
