Yuga Labs、フローリング・プロトコルのエクスプロイトで57万ドル相当の68個のNFTを救出

Bored Ape Yacht Clubの生みの親であるYuga Labsは、日曜日、廃止された流動性プラットフォーム「フロア・プロトコル」がエクスプロイトを受けた後、ホワイトハット作戦で57万ドル以上相当の68個のNFTを回収した。

「目的は、他の悪意ある行為者が同じ経路を悪用して先に引き出す前に、脆弱なフローリングプールから露出したNFTを除去することでした」と、仮名を使用するYuga Labsのブロックチェーン担当VPである0xQuit氏はXで述べた。

回収された品目には、29体のBored Apes、4体のMutant Apes、1体のBored Ape Kennel Club NFT、2体のCryptoPunks、1体のAzuki、2体のElementals、26体のCaptains、1体のMoonbird、2体のDoodlesが含まれていると、Yuga LabsのCEOマイケル・フィッグ氏は述べた。救助作戦は0xQuit氏が主導し、セキュリティ研究者のCoffee氏が支援、GrailsOTCが流動性支援を提供し、露出した資産を脆弱なプールから移動させるための資金とNFTの提供を支援した。

このインシデントは、非代替性トークン（NFT）の金融化プロトコルのリスクを浮き彫りにしている。部分的所有権、保管庫構造、償還メカニズムを組み合わせた複雑なスマートコントラクトは、基礎となる担保が代替可能トークンではなく希少なNFTで構成されている場合、資産レベルの大きなエクスポージャーを生み出す可能性がある。

エクスプロイトの仕組み

2025年9月にサンセットモードに入ったフロア・プロトコルは、ユーザーがNFTをプールに預け、取引可能または償還可能な代替可能なfpTokenを獲得できる仕組みだった。攻撃者は少量のラップドイーサー（wrapped Ether）から開始し、プロトコルのパックされた会計ロジックの欠陥を悪用して、事実上無制限のfpToken残高を鋳造した。

0xQuit氏によると、悪意を持って細工されたトークンIDは「ゴースト所有権状態」を生み出し、ある読み取りでは所有権チェックが通過する一方、内部の台帳記帳は別の読み取りのもとで乖離したという。2つの未チェックのアンダーフローが続き、攻撃者の残高は巨大な数値に膨れ上がり、fpToken価格をゼロ近くまで叩き落とし、影響を受けたプールを枯渇させることを可能にした。

フロア・プロトコルの設計者は、攻撃的なビットレベルのコードが、セキュリティレビュー中にこの脆弱性が見逃された原因の一因であると述べた。

Yuga Labsが介入した理由

その後、研究者らは2つ目の攻撃経路を発見し、ブルーチップNFTコレクションを含むより高価値のプールが露出した。これらの資産が第一波を逃れたのは、そのプールに流動性がほとんどなかったためである。Bored Apeのフロア価格は約9ETH（約15,000ドル）近辺であり、CryptoPunksは32ETH（約55,000ドル）以上で推移していたとCoinGeckoのデータは示している。

これらの価格水準では、29体のBored Apesだけで約441,000ドルの価値があり、回収品の中で最大の単一項目となった。エクスプロイトは週末に発生し、オンチェーンアクティビティを監視するチームが少ない時間帯だった。

元フロア・プロトコルCEOのFreeLunchCapital氏は、プロトコルは流動性問題と組織変更に直面し、NFT部門の一部が管理されない状態になったと述べた。FreeLunchCapital氏は、流動性を提供し続け、ユーザーのポジション退出を支援するために自身のNFT資産の一部をプラットフォームに維持しており、それらの資産がエクスプロイトの主要な標的になったと付け加えた。

より広範な市場の状況

NFT市場は2022年初頭以来、大幅に冷え込んでいる。当時、Bored Apesは日常的に30万ドル以上で取引され、イーサリアムNFTの日次販売量は1億ドルを超えていた。比較すると、2026年の最大販売量日は3,230万ドルであるとCryptoSlamのデータは示している。下落にもかかわらず、CoinGeckoのデータによると、月曜日時点のNFT市場全体の時価総額は約14億ドルだった。

Yuga Labsは、フロア・プロトコルの開発者と協力して解決策を見つけ、NFTを正当な所有者に返還する作業を進める間、これらの資産の管理を維持している。今回の救助作戦は、Yuga Labsが自社のコレクションを超えて主要なNFTエコシステムの管理者としての役割を果たしていることを再確認させるものだが、同時にNFTの流動性インフラがどれほど相互接続されているか、そしてそのインフラが実験的な金融プロトコルの中に置かれたときに、いかに脆弱であるかを浮き彫りにしている。

本記事は情報提供のみを目的としており、投資助言を構成するものではありません。