セキュリティリサーチャーのSpreekは10月22日、Swell DAOの運用用ホットキーを保持する攻撃者が、新しいETHの裏付けなしに、swETHおよびrswETHリキッドステーキングトークンの交換レートを毎時1%の上限で引き上げたと報告した。

リキッドステーキングトークンの交換レートは通常、ステーキング報酬の積み増しに伴ってのみ上昇するため、新しいETHの裏付けのない上昇は、プロトコルの保有資産が支える水準を報告レートが上回る結果を招く。この発見が明るみに出たのは、クラウドプラットフォームRailwayが、侵入者が顧客の保存済みシークレットにアクセスした可能性があると開示した数時間後のことだった。

両トークンで計5回、約1%のレート引き上げを記録

Spreekは01:28 UTCにXで調査結果を共有し、両トークンの管理者キーが「侵害されている可能性がある（railway関連？）」と記した。投稿によれば、攻撃者は「毎時最大1%（無裏付け）でNAVを引き上げていた」。

Phylax Systemsの創設者Odysseusはこの動きを「BOTキーの乱用」と呼び、swETHで3回、rswETHで2回、それぞれ約1%のレート引き上げを確認した。Swellの公開されているオラクルコードは、再価格付けスナップショットの送信をBOTロールのみに限定している。このボットはホットキーで稼働しており、ホットキーは常時オンラインで人間の関与なしに署名を行う。この仕組みにより、オンチェーンレートの正確性が、常時オンラインの一組の認証情報に委ねられている。この種のレート上限は、オラクルが1回の更新で価格をどれだけ動かせるかを制限するものであり、ここでは不正な引き上げのペースを規定する形となった。

イーサリアムの記録では、単一のアドレスが10月21日23:02 UTCにswETHのスナップショットを送信し、その後10月22日の00:04 UTCと01:08 UTCにも追加送信を行った。10月22日時点の報告数値では、swETHは1.133254 ETHを約3.0%上回っており、rswETHは1.082464 ETHから約2.0%上昇していた。

Railwayは[10月21日に](

同じ日、暗号資産調査者のTayは、攻撃者がRailwayに保存されたキーを用いて、少なくとも19のEVMチェーン上のウォレットから約371,000ドルを流出させたと述べた。Railway侵害とSwellのインシデントの関連は確認されていない。

4つの悪意あるアップグレードコントラクトが約2,500 ETHを奪取する可能性

Swellは10月22日03:03 UTCにXで、「swETHおよびrswETHコントラクトにおける不審なアクティビティ」の報告を認識しており、セキュリティパートナーとともに調査を進めていると述べた。「swETHまたはrswETHの出金・入金コントラクトからETHは流出していない」とチームは記し、ユーザーの対応は不要であると付け加えた。

10月23日、SwellはswETHおよびrswETHの入出金を停止し、NAVが正しい値に戻り次第再開すると述べた。交換レートは入出金時に各トークンがどれだけのETHに換算されるかを決めるため、これらの機能の再開は修正後の数値に左右される。

Spreekはさらに、実行されれば約2,500 ETHを奪取しうる4つの悪意あるアップグレードコントラクトがデプロイされたと報告した。Odysseusは、Swellが2,513 ETHを保有していたと推定しつつ、この金額は「損失として確定していない」と述べた。報告時点でアップグレードはいずれも実行されておらず、その状況、NAVの修正、およびRailwayインシデントとの確認された関連が注目すべき要点となっている。

調査内容の一部はAIの支援を受けてまとめられたとされ、検証は済んでいない。

膨張したレートはレンディング市場への感染リスク

上昇したレートのごく一部のみがDEX価格に反映されているとされる。10月23日時点で、Swellのリキッドステーキングおよびリキッドレステーキング商品はそれぞれ約2,900万ドルのTVLを保有しており、データソースはrswETHの時価総額を2,700万〜5,800万ドルの間と示している。

オンチェーンレートに基づいてswETHやrswETHを価格評価するレンディング市場では、この膨張した数値が担保として計上されることになる。Cryptopolitanは以前、KelpDAOのrsETH悪用がLayer 2レンディング市場に波及した際に、同様の感染経路を追跡した。鍵の漏洩は、Polkadotユーザーの秘密鍵が攻撃者のサーバーに送信されたFearless Wallet拡張機能インシデントの背景にもあった。