BNBチェーン上の大手分散型貸付プロトコルであるVenus Protocolは、約370万ドル（約5.5億円）相当の暗号資産が不正に流出したことを明らかにした。攻撃者は特定のトークンの供給制限を回避する手法を用い、プラットフォームから複数の資産を引き出した。この事案は、DeFi（分散型金融）における流動性管理とリスク設定の難しさを改めて浮き彫りにしている。
今回の攻撃では、Thena（THE）トークンの流動性プールにおける異常な取引が発端となった。Venus Protocolの開発チームは事態を察知後、即座に該当トークンの借入および出金機能を停止する措置を講じている。本記事では、攻撃の具体的な手口や被害状況、そしてDeFi市場全体が直面しているセキュリティ上の課題について分析する。
Venus Protocolで370万ドルの不正流出が発生
2026年3月15日、Venus Protocolは公式声明を通じて、プラットフォーム上での不審な取引活動を検知したと発表した。影響を受けたのは、分散型取引所（DEX）であるThenaのネイティブトークン「THE」に関連する流動性プールだ。Venus側の報告によれば、この異常な活動はPancakeSwapのネイティブトークンであるCAKEとTHEのプールに限定されていた。
事態の発覚後、Venusチームはさらなる被害を食い止めるための予防措置として、THEトークンの借入および出金を即座に停止した。調査が完了するまでこの措置は継続される方針だ。ブロックチェーン分析プラットフォームのWu Blockchainによれば、最終的な被害総額は370万ドルを超えると推定されている。攻撃者はTHEトークンを担保として利用し、667万CAKE（当時価格で約1,000万ドル相当だが、借入枠により制限）、158万USDC、2,801BNB、20BTCなど、多岐にわたる資産を不正に引き出した。
異常検知と初動対応の迅速性
Venus Protocolが異常を検知した際、まず実行されたのはリスクの高い通貨ペアの隔離だった。VenusはBNBチェーンにおける最大級のレンディングプラットフォームであり、預かり資産（TVL）も巨額であるため、迅速な対応がシステム全体の崩壊を防ぐ鍵となった。チームはTHEトークンに関連するすべての操作をロックすることで、攻撃者がさらに他のプールへ影響を及ぼすのを防いだ。
また、Venusのリスク管理を担当するAllez Labsは、プラットフォーム上で流動性が低い他のトークンについても、念のために出金と借入を一時停止した。これは、同様の脆弱性が他のマイナーなトークンでも悪用される可能性を考慮した「防衛的措置」である。DeFiプロトコルにおいて、一部のトークンの脆弱性がプロトコル全体の信頼性を揺るがすリスクがあることを、この初動対応は示している。
供給制限（サプライキャップ）攻撃の手口と背景
今回の攻撃で用いられた「供給制限（サプライキャップ）攻撃」とは、プロトコルが設定した特定のトークンの預け入れ上限や借入上限を、スマートコントラクトのロジックの隙を突いて突破する手法だ。通常、レンディングプロトコルでは流動性が低いトークンが大量に持ち込まれてシステムが不安定になるのを防ぐため、これらの制限を設けている。しかし、攻撃者はこの制限を無効化、あるいはバイパスする方法を見つけ出した。
Allez Labsの分析によれば、今回の攻撃は大きく分けて二つの段階で実行された。第一段階は、THEトークンの時価総額の約84%に相当する量を着実に蓄積することだ。これにより、攻撃者は市場におけるTHEの価格と流動性をある程度コントロールできる状態を作り出した。第二段階として、蓄積したTHEを担保に設定し、Venusのロジックを操作して本来の供給制限を超えた資産の借入を実行したのである。
THEトークンの流動性を悪用した二段階攻撃
攻撃者は、まず市場に出回っているTHEトークンの大部分を買い占めることで、オラクル（価格参照データ）が参照する価格を吊り上げ、あるいは安定させた。その上で、Venus Protocolに対して大量のTHEを担保として提供した。通常であれば、供給制限によって一定量以上の担保は受け入れられないはずだが、攻撃者はコントラクトの特定の関数や相互作用を利用し、この制限を「見かけ上」回避することに成功した。
この手法の巧妙な点は、単なるコードのバグを利用するだけでなく、市場の流動性そのものを操作の道具にしている点にある。流動性が極端に偏った状態では、プロトコルが想定している「正常な市場価格」や「安全な担保比率」が機能しなくなる。つまり、技術的な脆弱性と経済的な設計の隙間を同時に突いた攻撃と言える。
リスク管理における盲点
レンディングプロトコルにおけるリスク管理は、常に「担保資産の処分可能性」に基づいている。もし借り手が返済不能になった場合、プロトコルは担保を市場で売却して損失を補填しなければならない。しかし、攻撃者が時価総額の8割を握っているような状況では、市場に十分な買い手が存在せず、清算システムが機能不全に陥る。Venusの設定していた供給制限が、このような極端な市場占有率を想定しきれていなかった可能性が高い。
被害銘柄と市場への影響
不正流出の影響は、Venus Protocol内部に留まらず、関連するトークンの市場価格にも波及した。特に攻撃の踏み台とされたThena（THE）トークンは、事件発覚後に急落を見せている。価格データサイトのCoinMarketCapによれば、THEの価格は24時間で17%以上下落し、0.2255ドル付近まで値を下げた。攻撃者が盗み出した資産を売却するとの懸念が、投資家の売りを加速させた形だ。
一方で、盗み出された主要資産であるBNBやBTC、USDCなどは、それぞれの市場規模が極めて大きいため、今回の事件による直接的な価格変動は限定的だった。しかし、CAKEについては667万枚という大量のトークンが攻撃者の手に渡ったことから、PancakeSwapエコシステムへの影響を懸念する声も上がっている。Venusチームは現在、これらの盗難資産の追跡を行っており、中央集権型取引所（CEX）などと連携して資産の凍結を試みている。
DeFiエコシステムへの波及リスク
Venus ProtocolはBNBチェーンにおける流動性のハブとして機能しているため、ここでのトラブルは他のプロジェクトにも連鎖する恐れがある。例えば、Venusに資産を預けてその受領証（vToken）を他のプロトコルで運用しているユーザーは、Venusの出金停止によって資金効率が大幅に低下する。また、レンディングプロトコルに対する不信感が高まれば、BNBチェーン全体からの資金流出を招くリスクも否定できない。
筆者の分析：オラクルと流動性の相関リスク
今回の事件から得られる教訓は、DeFiプロトコルが「価格」だけでなく「流動性の深さ」をより動的に監視する必要があるということだ。多くの場合、オラクルは正確な市場価格を伝達するが、その価格で「実際にどれだけの量を売却できるか」までは保証しない。攻撃者がトークンの供給量の大半を支配した場合、オラクルが示す価格は実態を伴わない「砂上の楼閣」となる。今後のDeFi設計では、担保の時価総額に対する占有率や、DEXでのスリッページ（注文価格と約定価格の差）をリアルタイムで借入上限に反映させる仕組みが不可欠になるだろう。
DeFi市場におけるセキュリティ動向と今後の課題
2026年に入り、暗号資産市場全体のハッキング被害額は減少傾向にあった。ブロックチェーンセキュリティ企業PeckShieldの報告によれば、2026年2月のハックによる損失額は約4,900万ドルと、過去1年間で最低水準を記録していた。しかし、今回のVenus Protocolの事例は、システムが成熟してもなお、高度な経済的攻撃に対しては脆弱性が残り続けていることを示している。
最近の傾向として、純粋なコードのバグを突く攻撃から、ソーシャルエンジニアリングや市場操作を組み合わせた「複合型攻撃」へとシフトしている点が挙げられる。Nominisのレポートによれば、フィッシング詐欺やアドレスポイゾニング（偽のアドレスに送金させる手法）が増加しており、ユーザー個人を狙った攻撃が主流となっていた。その中で、プロトコルの根幹を突く今回のサプライキャップ攻撃は、DeFi運営側にとって大きな警告となったと言える。
洗練化する攻撃手法とプロトコルの防衛策
攻撃者は常にプロトコルの「想定外」を探している。今回のケースでは、供給制限という防御策そのものが、特定の条件下で無効化されるというパラドックスが生じた。これに対抗するためには、単一のセキュリティ監査だけでなく、継続的な経済シミュレーションや、異常値を検知した際に自動で回路を遮断する「サーキットブレーカー」の導入がより一般的になるべきだ。
また、ユーザー側としても、高い利回りを提示するプロトコルには、それ相応の流動性リスクが隠れていることを認識しなければならない。特にマイナーなトークンを担保として受け入れているプラットフォームでは、今回のような攻撃が発生する可能性を常に考慮し、資産の分散管理を徹底することが求められる。
この記事のポイント
- Venus Protocolで約370万ドルの不正流出が発生し、THEトークンの機能が一時停止された。
- 攻撃手法は「供給制限（サプライキャップ）攻撃」と呼ばれ、担保制限を回避して資産を引き出すものだった。
- 攻撃者はTHEトークンの時価総額の約84%を事前に蓄積し、市場流動性を操作していた。
- 被害資産にはCAKE、BNB、BTC、USDCが含まれ、THEトークンの価格は事件後に17%以上下落した。
- DeFiのセキュリティはコードの安全性だけでなく、経済的な流動性リスクへの対策が急務となっている。
出典
- Cointelegraph「Venus Protocol hit by $3.7M in ‘supply cap’ attack」（2026年3月15日）
- X（旧Twitter）「Venus Protocol公式アカウント（@VenusProtocol）」（2026年3月15日）
- X（旧Twitter）「Allez Labs公式アカウント（@AllezLabs）」（2026年3月15日）
- X（旧Twitter）「Wu Blockchain公式アカウント（@WuBlockchain）」（2026年3月15日）
- X（旧Twitter）「PeckShieldAlert公式アカウント（@PeckShieldAlert）」（2026年3月1日）
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。