SyFuQ過去にEVTへの不正アクセスがあったと聞きました。いまはどうなっていますか？
A2026年2月に、EVTの報酬用プールコントラクトが不正アクセスを受けました。対策を実施し、EVTの入出金は再開しています。また、2024年12月にも、当時ETHチェーンにあったGenesis NFTの一部が流出する事案が起きています。
時系列は次のとおりです。
| 時期 | 出来事 |
|---|---|
| 2024年12月 | 運営が管理するウォレットがハッキングを受け、チーム保有分のGenesis NFTの一部が流出。保有者保護のためGenesis NFTは新しいコントラクトへ移行 |
| 2026年2月 | EVTの報酬用プールコントラクトへの不正アクセスが発生。アプリを一時停止 |
| 2026年3月 | 再発防止策を実施し、EVTの入出金を再開 |
2026年2月の事案の内容は次のとおりです。
| 項目 | 内容 |
|---|---|
| 流出量 | 約110,573EVT |
| 原因 | コントラクトのコードの脆弱性ではなく、デプロイ（公開）手順の問題。プロキシコントラクトのデプロイと初期化が別のトランザクションだったため、初期化前のわずかな時間に第三者が先回りし、制御権を取得した |
| 影響の範囲 | 報酬用プールコントラクトからの流出と、アプリ内の精算に使う取引権限（Approval）が残っていた一部のSpendingウォレット（29アカウント）での不正な移転 |
| 侵害が確認されていないもの | SyFuのサーバー・データベース・決済データ（個人情報を含む）／ウォレット基盤とユーザーの秘密鍵／NFTコントラクト／EVT本体のコントラクト／運営ウォレット |
| ユーザーのEVT残高 | 本来あるべき数量から減らないよう保全。報酬配布の原資は追加発行せず、発行済みのEVTの範囲で手当て |
実施された対策は次のとおりです。
| 対策 | 内容 |
|---|---|
| デプロイ手順 | 初期化を含めてアトミック化し、デプロイ後の検証（初期化状態・権限設定・実装の差し替え）を自動化 |
| 権限の保護 | 重要な権限にタイムロック等を追加 |
| 精算方式 | 定期精算を廃止して都度精算に変更し、Approvalが一定期間残る前提をなくした |
| 入出金の再開 | 第三者機関と協力して安全性を確認したうえで再開済み |
2024年12月のGenesis NFTの事案では、ユーザーの保有資産への影響はなかったと公表されています。
なお、対策が講じられても、今後同様の事案が起きないという保証はありません。これはSyFuに限らず、ブロックチェーンを使うプロジェクト全般にあるリスクです。