主要なDeFiレンディングプロトコルAaveが、その基本構造の隙を突く攻撃により約2.4億円の不良債権を抱えていることが明らかになりました。
なお既に攻撃の実行者が明らかになっており、過去に別のDeFiプロトコルMango Marketsへの攻撃で約70億円の収益を得ていたアブラハム・アイゼンバーグ氏であることが各種データから指摘されている状態です。
今回の攻撃手法について簡略化すると、攻撃者はAaveで大量のCRVを借り入れを行い、売却して得たUSDCを再度Aaveにデポジットして再度CRVを借り入れるという手順で実行されていました。この作業を繰り返してCRVの価値を徐々に下落させ、その後買い戻しに転じたとされています。
ブロックチェーン分析会社のArkhamによると攻撃者は6日間で、約90億円（6,360万ドル）相当のUSDCを担保に約9,200万CRVのショートポジションを築いたといいます。
AaveではUSDCを担保に評価額の87%まで資産を借りることが可能になっています。それだけではなく、CRVの価格が閾値まで上昇するとAaveの清算ボットが発動するため、担保のUSDCを清算してCRVを市場で買い戻そうとする現象が発生するのです。
しかしDEX市場にCRVの十分な流動性はないため、買い戻しプロセスに合計50分以上の時間を要し、385回に分けて清算トランザクションが決済されてしまいました。そのため結果的に価格の急変動による負債が生じて、Aaveには264万CRVの不良債権が残されてしまったのです。
6日間の継続的な売却、おそらく攻撃者の買い仕掛けによる反転上昇、そして清算ボットの買い戻しにより、CRVトークンは過去1週間に以下のような価格変動を示しています。11月22日未明には最低値0.4ドルから最大値0.7ドルまで75%上昇し増した。
Aave側の行動
今回攻撃者は初めからローンを返済するつもりはなかったと見られていることから、ショートと併せてロング・ポジションを同時に有していました。この場合では年利約600%もの借り入れコストと担保USDCの損失を差し引いても、わずかながら収益を得た可能性が指摘されています。
アブラハム・アイゼンバーグ氏は過去にAaveの構造上の欠陥に関する攻撃設計図を公表しており、本件はそれを実演したものであると分析会社は判断しています。
なお同氏はこの作業を「Profitable Trading Strategy（有益な取引戦略）」と呼んで「攻撃」と区別しているが、より重要な問題はAaveの他のプールや別のレンディングプロトコルでも通用してしまうのも懸念点です。
一方、AaveチームはCRVプールの不良債権をプロトコルのトレジャリー（財務）でカバーできるとコメントしました。今回の事件を受けて、USDC担保のローン率の引き下げ、流動性の低いトークンの借り入れ上限、ローンレバレッジの抑制などの対策が既に提案されており、Aaveコミュニティで議論していくとの旨を明らかにしています。
