Solido Moneyオラクル悪用事件：古い価格フィードで2.937億SUPRAが流出——DeFiへの警鐘

核心的な脆弱性は、Solido Cashの担保評価システムにおけるオラクルの割り当てミス、具体的にはSOLID担保の評価に使われた、古くなった（または誤設定された）価格フィードにありました。プロトコルは、SOLIDの市場価格をはるかに上回る、古い（あるいは誤ってマッピングされた）オラクル価格を参照していました。攻撃者はこの過大評価されたSOLIDを担保として預けることで、実際の担保価値からは許容されない量の2億9370万 SUPRAトークンを引き出すことに成功しました。

悪用は2回の別々の攻撃の波に分かれていましたが、いずれも同じ脆弱性を突いたものです：

• 波A（18:21:35 UTC）：1回のトランザクションで、トークンのスワップ、担保の預入、新規CASHのミントという一連の操作を連鎖させ、266,778,767 SUPRAを獲得しました。
• 波B：同様のパターンを繰り返し、合計で約2億9370万 SUPRAとしました。

セキュリティ企業のPeckShieldがこの侵害とおおよその損失額を確認しています。

重要なのは、盗まれた資金の約90%がSolido財団自身の資金であり、個人のユーザーではなかったことです。つまり、損失のほぼ全額を財団が負ったのであり、個々の貸し手や借り手ではありません。

ブロックチェーン・フォレンジックが資金の行方を追跡

Solido Moneyは公開したフォレンジック報告書で、オンチェーン上の資金の流れを詳述しています：

• 盗まれたトークンのうち、約2億2000万 SUPRA（約84%）が、Gate.ioとみられる入金アドレスに移動されました。一部の情報源ではこの数字を「約90%」としています（2.937億SUPRAのうち2.2億SUPRA）。84%という数字はプロトコル自身の報告書と複数のニュース記事に記載されています。
• 攻撃者は換金またはクロスチェーン転送に備え、これらのトークンをGate.ioに入金したものとみられています。
• Solidoは資金の凍結・回収のため、取引所に協力を要請しました。

より広範なパターン：2週間で2件のSupraオラクル悪用事件

Solidoの悪用は孤立した事件ではありません。わずか12日前の2026年7月11日には、Hederaベースの貸付プロトコルBonzo Lendが、関連するオラクル悪用により約905万ドルの損失を被っていました。

Bonzo Lend（2026年7月11日）：

• 攻撃者はわずか250 SAUCEトークン（価値は数ドル）を預け入れ、その後、SAUCE/wHBARの価格を**12桁（1兆倍）**も水増しした偽の価格更新を送信しました。
• 脆弱性は、Supraのオンチェーン・ベリファイア契約におけるBLSゼロ署名受け入れの欠陥でした。ベリファイアは、署名と公開鍵がゼロの偽造価格を有効なものとして受け入れてしまいました。
• 攻撃者は8秒間で、663万 USDCと3450万 wHBARを借り出しました。

両プロトコル（Solido MoneyとBonzo Lend）は、いずれもSupraをオラクルプロバイダーとして利用していました。同じインフラから、2つの異なる障害モードが発生しました：

• Bonzoの欠陥は、Supraのオンチェーン・ベリファイアにおける暗号検証の失敗（ゼロ署名のバイパス）でした。
• Solidoの欠陥は、SOLID担保に対する価格フィードの設定ミス/価格情報の古さでした。これは異なる種類のオラクル障害ですが、やはりSupraの価格データの取り込み・検証方法に起因しています。

この2つの事件が2週間以内に発生したことで、Supraオラクル・エコシステムは厳しい監視下に置かれています。セキュリティアナリストは、同様の悪用を防ぐために、タイムスタンプ検証の厳格化、フィードの小数点正規化、複数ソースからの価格集約などを求めています。

DeFiプロトコルへの重要な教訓

1. オラクルの設定ミスは、暗号の欠陥と同じくらい危険である。 古くなった価格フィードは、壊れた署名検証機と同じように悪用されうる。
2. 盗まれた資金の90%はプロトコルの財団が保有していた。 プロジェクトの財務準備金がいかにプロトコルリスクに直結しているかを示している。
3. 単一オラクルへの依存はシステムリスクを生む。 BonzoとSolidoは同じプロバイダー（Supra）に依存しており、複数のプロトコルに脆弱性が連鎖した。
4. ブロックチェーン・フォレンジックにより資金の追跡が可能だった。 Solidoのフォレンジック報告書は、盗まれた資金の84%を特定の取引所アドレスに特定し、調査当局に明確な手がかりを提供した。

Solidoの悪用事件は、価格フィードが壊れたとき（古いデータであれ、偽造署名であれ）、その損害がエコシステム全体に連鎖する可能性があるという重要な教訓を浮き彫りにしています。