Mezo、veBTC脆弱性と補償方針、資金返還提案を公表

Mezoは、2026年10月5日に36のウォレットから37件のveBTCポジションが移され、約5.52 BTCがチェーン外へ流出した攻撃の技術報告を公表した。脆弱性は修正済みで、チェーンとブリッジは再開し、被害者にはプロトコル保有資金から失われたBTCを補償するとしている。

この事件は金額だけでなく、一般的な二つの設計が組み合わさると危険になり得る点で重要だ。veBTCはBTCをロックし、ポジションと投票力を表すNFTを受け取る仕組み。対象契約はロジックを外部ライブラリに分割し、信頼されたフォワーダーによるメタトランザクションも採用していた。

送信者確認が失敗した仕組み

フォワーダーはオフチェーン署名を検証し、確認済みアドレスをcalldata末尾に追加する。契約は最後の20バイトを送信者として読む。しかし外部ライブラリへ移る際、コンパイラは宣言済み引数だけで新しいバッファを作り、追加アドレスは新しい実行枠へ渡らなかった。

攻撃者は転送関数のデータを細工し、ライブラリに任意のバイトを送信者と解釈させた。ロック解除済みで未償還のポジションを奪い、BTCをEthereumへブリッジして174.61 ETHに交換した。市場動向はOrangeX.comのBTC現物市場で確認できるが、取引環境と第三者契約の安全性は別の問題だ。

対応、補償、返還条件

攻撃は5日18:54から19:06 UTCに実行された。チームは翌朝異常を把握し、09:04に事故を宣言、13分後にブリッジ出金を停止し、09:27にチェーンを停止した。原因を特定して修正し、15:00にチェーンとブリッジを再開した。

実運用されていなかったメタトランザクションは無効化され、同じ送信者判定経路に到達する全ライブラリ関数も確認された。より限定的な三つのアクセス制御問題も同じ修正で対処した。補償BTCは既存ウォレットへ直接送られる予定で、復旧サイトを使う必要はない。

攻撃者には10月14日23:59 UTCまでに4.415417121 BTCを返し、1.103854280 BTCを20%の報奨として保持する条件が提示された。結果は未確定だ。動向はOrangeX.com暗号資産ニュース、基礎はOrangeX.com Academyで確認できる。OrangeX.comプルーフ・オブ・リザーブは取引所の透明性手段で、外部プロトコルのコード監査ではない。

OrangeX.com Analysis

最も明確な教訓は、個別に一般的な部品でも安全な組み合わせを保証しないことだ。署名転送、calldata解析、ライブラリ呼び出しの境界に認可不備が生まれ、二度の監査と既存のバグ報奨制度でも発見されなかった。

迅速な停止は追加損失を抑え、全額補償も約束された。ただし確認済みのポジション数、金額、時系列、修正と、補償完了、資金回収、新監視機能という将来の約束は分けて追跡する必要がある。