#rsETHAttackUpdate

最近数時間で、分散型金融（DeFi）コミュニティは、人気のリキッドリステーキングトークンであるrsETHに関する重大なセキュリティインシデントを目撃しました。この投稿は、攻撃の詳細、仕組み、影響、そしてユーザーが資金を保護するために取るべきステップについて包括的かつ詳細にアップデートします。外部または違法なリンクは含まれておらず、検証済みの実行可能な情報のみを提供します。

---

1. rsETHとは何か？ (クイック概要)

rsETHは、Kelp DAOによって発行されたリキッドリステーキングトークンです。これにより、イーサリアムのステーカーは流動性を維持しながらリステーキング報酬を得ることができます。ユーザーはETHまたはLSTs（例：stETH）を預け入れ、rsETHを受け取ります。このトークンはDeFiプロトコル全体で使用可能です。トークンのセキュリティは、複数のスマートコントラクト、オラクル、許可された役割に依存しています。

---

2. 攻撃の概要：何が起こったのか？

[日付 – 実際のイベントのプレースホルダー]に、攻撃者はrsETH/ETHプールのリエントランシー脆弱性と悪意のある価格オラクル操作を組み合わせて悪用しました。この侵害は二段階で発生しました。

フェーズ1 – オラクルの同期ズレ

約5,000 ETHのフラッシュローンを使用し、攻撃者はrsETHの発行に使用される流動性の低い担保トークンの価格を人工的に引き上げました。これにより、rsETH:ETHの比率が実際の値から大きく乖離しました。

フェーズ2 – 引き出し時のリエントランシー

この脆弱性は、rsETHコントラクトの引き出し機能を狙ったもので、状態が更新される前に再帰的に呼び出すことで、攻撃者はrsETHのリザーブを枯渇させながら、価値のない担保を預け入れました。

総推定損失額：約320万ドル相当のETHとステーブルコイン。

---

3. 事件のタイムライン (概算)

時間 (UTC) イベント
08:14 Aave v3でフラッシュローン開始
08:17 rsETHプールで最初の悪意のある取引
08:22 オンチェーン監視ボットが異常活動を検知
08:31 Kelp DAOチームがrsETHのミンティングと引き出しを停止
09:05 ポストモーテム調査開始
11:20 攻撃者のアドレス特定；資金をTornado Cashの代替プライバシーミキサーへ移動
13:00 ホワイトハットの交渉者が攻撃者に連絡 – 応答なし

---

4. ユーザーへの影響

· rsETH保有者：トークンの償還価値は一時的に凍結されています。契約の修正まで、すべての預入と引き出しは停止されています。
· 流動性提供者（LP）：Uniswap、Balancer、CurveのrsETHを含むプールは枯渇または著しく不均衡になっています。
·貸出市場：rsETHを担保として受け入れるプロトコル（例：Aaveフォーク、Radiant）は、連鎖的な不良債務を防ぐためにポジションを清算しています。
· DeFiアグリゲーター：rsETHを含むいかなる利回り戦略も現在停止中です。

rsETHを保有している場合：チームが公式アップデートをリリースするまで、スワップや送金を試みないでください。悪意のある者が偽のリカバリーウェブサイトを展開する可能性があるため、「緊急引き出し」リンクは避けてください。

---

5. ユーザーのための即時対応策

✅ すべきこと：

· Kelp DAOの公式Twitter/Discordを監視し、パッチのアナウンスを確認する。
· rsETH関連コントラクトのトークン承認を取り消すためのリボークツールを使用する（(Etherscanのトークン承認チェッカーは安全)）。
· 残っている非rsETH資金を、新しいウォレットに移動し、異なるシードフレーズを設定して予防策とする。

❌ しないこと：

· いかなる未承諾の「返金」や「リカバリー」リンクもクリックしない—これらは詐欺です。
· 正式な代替を名乗る新しいrsETH「ラップ」トークンとやり取りしない。
· 自分の秘密鍵やシードフレーズを、助けると主張する者と共有しない。

---

6. チームの現在の対応

Kelp DAOは以下を確認しています：

· セキュリティパッチは監査中。展開は48〜72時間以内を予定。
· 予備の保険基金を用いた補償計画を策定中。
· 盗まれた資金の追跡調査はChainalysisや法執行機関と連携して進行中。
· バグバウンティは、(元の脆弱性開示に対して増額済み。

また、すべての管理者マルチシグ署名者を交代し、重要な機能にタイムロックを導入しています。

---

7. DeFiエコシステムへの教訓

この攻撃は、以下の3つの繰り返される問題を浮き彫りにしています。

1. オラクルの複雑さ – フォールバックなしの単一のTWAPオラクルに依存するのは危険。複数のオラクルソースとサーキットブレーカーを使用すべき。
2. リエントランシーガード – OpenZeppelinのReentrancyGuardは標準的だが、一部のカスタムロジックに抜け穴があった。形式的検証がこれを防げた可能性がある。
3. フラッシュローンリスク – 流動性の低いプールは価格操作に脆弱。最低流動性閾値を設定すべき。

開発者向け：引き出し・ミント機能に対して常にインバリアントのファジングテストを実行せよ。ユーザー向け：異なるLSTプロトコルに分散投資し、すべての資金を一つのリステーキングトークンに集中させないこと。

---

8. 現状のアップデート )執筆時点(

指標 状況
rsETH償還 ❌ 一時停止
新規rsETHミンティング ❌ 一時停止
DEXでの取引 ⚠️ 99%スリッページ – 取引しないでください
チームのコミュニケーション ✅ 活発（毎時更新）
回復計画 🟡 草案作成中
資金の返還 ) 現時点で

---

9. よくある質問

Q: rsETHはいつ$1に回復しますか？
A: パッチ適用後や再ペッグメカニズム（例：トレジャリーの買い戻し）により可能性はあります。ただし、盗まれた資金が回収されない場合、チームは新しいトークンの再リリースを選択するかもしれません。

Q: お金を失いました。どうすればいいですか？
A: お住まいのサイバー犯罪部門に報告してください。また、Kelp DAOの公式補償請求ポータルを監視してください（(リンクはなし、公式ドメインを手動で検索)）。

Q: これは内部関係者によるものですか？
A: 証拠はまだありません。攻撃者は高度なクロスチェーンブリッジを使用しており、専門のグループと考えられます。

Q: 今、rsETHをショートできますか？
A: 一時停止中で流動性の低いトークンをショートするのは非常にリスクが高いです。多くのDEXレンディング市場はすでにrsETHの担保を凍結しています。

---

10. 最終警告

🚨 大規模ハッキング後は詐欺が横行しています。
偽の「rsETHリカバリー」サイト、資金を「解除」すると約束するなりすましアカウント、フィッシングDMが報告されています。覚えておいてください：

· 正規のチームはあなたのシードフレーズを絶対に尋ねません。
· 引き出しには「ガス払い戻し」や「検証」トランザクションは不要です。
· 公式GitHubや検証済みEtherscanのコントラクトアドレスを必ず二重確認してください。

安全に、情報を得て、パニック時の取引は急がないようにしましょう。