BNB Chainの新しいGold Protocol、ローンチ初日に200万ドルのハッキング被害

AIによって駆動され、「DeFi 3.0」と自称するステーキングプロトコルであるThe New Gold Protocolは、「持続可能性を中核に据えて」構築されたが、ローンチから数時間後にハッキングされた。このハッキングは2025年9月18日に発生した。ハッカーはNGPの設計上の2つの欠陥を悪用した。このケースは、プロトコル設計の怠慢がプロジェクトを初日から破滅させる可能性があることを示している。

New Gold Protocolとは？

New Gold ProtocolはBNBブロックチェーン上に構築され、9月18日にローンチされたステーキングプロトコルである。

New Gold Protocolが解決を目指す問題の一つは「価格決定ルールの欠如」である。ホワイトペーパーによれば、多くのDeFiプロトコルは「行動価格設定の標準化されたメカニズムがなく、ボラティリティと混乱を引き起こしている」という。

「次世代DeFi 3.0」であるNew Gold Protocolは、内在的な収益がなく、ガバナンスモデルが非効率的な競合他社を上回ることを目指していた。NGPチームは、AIによる最適化を通じて透明性、公平性、持続可能性を実現する道を見出していた。

New Gold Protocolは、スマートコントラクトによって維持される透明で自動化された環境を持つ包括的なステーキングプラットフォームの構築を目指していた。トークンバーンにより、NGPは独自トークンをデフレ型として宣伝していた。インフレ的かつ投機的なインセンティブではなく、実際の収益分配を約束していた。NGPのホワイトペーパーは、透明性が説明責任を保証すると示唆していた。しかし、それだけでは不十分だったことが判明した。

NGPはどのようにハッキングされたのか？

ハッキングはNGPトークンのローンチ直後に発生した。価格インフレーション攻撃を防ぐためにNGPトークンの購入量には制限が設けられていたが、ハッカーはそれを回避する方法を見つけた。

ブロックチェーンセキュリティ企業Hackenのアナリストによると、攻撃の6時間前にハッカーは複数のアカウントを使い、フラッシュローンで大量の資産を集めていた。フラッシュローンはDeFiプラットフォームで人気の機能であり、担保なしで暗号資産を迅速に借りることができる。借りた資金はアービトラージ取引、プロトコルからの資金窃盗、価格操作などに利用される。Hackenによれば、フラッシュローン攻撃による被害は数百万ドルに上ることがある。

攻撃者はオラクル操作の手法を用いた。プロトコルはDEXの流動性プール内のリザーブをスキャンしてNGPトークンの価格を決定していたため、攻撃者は価格操作が可能だった。攻撃者はPancakePairでBUSDをNGPにスワップし、NGPの価格を急騰させた。

New Gold Protocolには購入制限とクールダウン制限の2つが設けられていたが、攻撃者は「dEaD」アドレスを受取人として利用することで両方を回避した。

次に、攻撃者はNGPを売却してプロトコルからほぼすべてのBUSDトークンを引き出した。これによりNew Gold Protocolはほとんど資金が残らなくなった。攻撃者は190万ドル相当の暗号資産を獲得し、すぐにBNBベースのETHに資金をスワップした。

Hackenチームによれば、その後の行動として、盗まれた資金はAcrossでブリッジされたEthereum経由でTornado Cashに入金された。この行動によりNGPの価格は上昇したが、プロトコルにはごくわずかな資金しか残らなかった。まもなくNGPトークンの価格は88%暴落した。

残念ながら、DeFi分野を再構築し持続可能なプロダクトを作るという野心的な計画にもかかわらず、New Gold Protocolは自らのセキュリティを軽視し、深刻な損害を被った。運営会社はこの問題についてコメントしていない。最新のツイートは「安定性が成長に出会う」と記されている。これは攻撃の数時間前に投稿されたもので、今では皮肉な冗談のように見える。

その他のフラッシュローン攻撃

フラッシュローンが導入されるや否や、フラッシュローン攻撃は犯罪者によってすぐに利用される戦術の一つとなった。

最大規模の攻撃は2023年3月に発生した。ハッカーはEuler FinanceプロトコルからWrapped Bitcoin、Wrapped Ethereumなど約1億9700万ドル相当の資産を盗むことに成功した。ハッカーはプラットフォームの計算レートのエラーを利用していた。資金は悪名高いDPRKハッカー集団Lazarus Groupが以前使用したアドレスに送られた。このケースが特に注目されたのは、ハッカーが自発的にすべての資金を返還し、謝罪したためである。

他の注目すべき例としては、Cream Financeのハッキング（2021年に1億3000万ドルが盗まれた）やPolter（2024年に1,200万ドルが盗まれた）がある。2025年には、SuiベースのCetusプロトコルから2億2,300万ドル相当の暗号資産が消失したスキームにもフラッシュローンが利用された。