Security in Action - 実際のハックと、DAOが取り戻した方法
June 9, 2026
昨日、DAOはテストよりずっと重い案件に投票しました。
私たちのユーザーの1人がハッキングされました。その人のビジネス全体、つまりNFTとパートナー構造が盗まれたのです。そして昨日、コミュニティ投票によって、それは正当な所有者のもとへ戻されました。
多くの方から、全容を知りたいという声がありました。ここで包み隠さず話します。何が起きたのか、どう解決したのか、このプロトコルの作りが何を証明したのか、そしてこの件を受けて私たちが追加する新しいセキュリティ層についてです。
何が起きたのか
参加者の1人のウォレットが侵害されました。攻撃者は、そのウォレットのシードフレーズを入手しました。中身すべてを開けるマスターキーです。
ここは正確に言いましょう。これはプラットフォームやスマートコントラクトの侵害ではありません。プロトコル自体は一度も破られていません。攻撃者は昔ながらの方法、つまり鍵を盗むことでユーザーのウォレットに入り込んだのです。
その時点で、Business Sale機能が一時的に有効になっていました。私たちはDAOガバナンステストの一環として以前に有効化し、そのことを公に告知していました。攻撃者は、その開いていた時間を突きました。侵害されたウォレットを支配した状態で、ビジネス移転を実行し、被害者のアカウント全体、NFTと完全なパートナーツリー構造を自分のアドレスへ移しました。
何カ月もかけて築いたビジネスが、1回のトランザクションで消えました。
何より先に、いちばん大事なこと
これがどう解決されたのかを理解するには、まず「起こり得なかったこと」を理解する必要があります。
チームはあなたのビジネスにアクセスできません。まったくです。
私たちはあなたのNFTを動かせません。あなたの構造に触れられません。あなたのアカウント内のものを凍結、差し押さえ、移転することもできません。これは明日こっそり変えられる方針ではありません。スマートコントラクトがそう作られており、CertiK監査で確認され、ブロックチェーンそのものによって強制されています。
これが分散化の本当の意味です。もし私たちがアカウントの中に手を伸ばして自力で「修正」できるなら、あなたの資産の安全性は結局、私たちの善意しだいになります。銀行を信じるのと同じように、私たちを信じる必要が出てくる。まさにそのモデルを置き換えるために、このプロトコルは作られました。
だからハッキングが起きたとき、押せる管理者ボタンはありませんでした。あるはずがありません。そしてそれは意図した設計です。
実際にはどう解決したのか
存在するのは、DAOです。
被害者はサポートに連絡しました。その人のアップラインリーダー、つまり最初にこのエコシステムへ招いた人物が寄り添い、状況を確認しました。チームは所有者の本人性と、新しい安全なウォレットをその人だけが管理していることを確認しました。そして、行動する権限を持つ唯一の仕組みが動き出しました。コミュニティ投票です。
2つの提案がオンチェーンに上がりました。
1. Business Saleを無効化する。 ガバナンステスト期間はいずれにせよ完了しており、開いていた移転経路こそ攻撃者が使った面でした。DAOは、この機能をプロトコル全体でオフにすることに投票しました。将来の投票で別の判断が下るまで、オフのままです。
2. 盗まれたアカウントを回復する。 DAOは、盗まれたポジション、NFT、構造、それにひもづくすべてを、攻撃者のアドレスから、確認済み所有者だけが管理する新しいウォレットへ移行することを承認しました。元のウォレットへ戻すのではありません。そのウォレットはまだ侵害されたままで、そこへビジネスを返せば、同じ攻撃者にそのまま手渡すことになります。
両方の提案が可決されました。両方ともオンチェーンで実行されました。全提案文はDAOページで公開されており、細部まで確認したい方は誰でも読めます。
結果として、所有者は安全なウォレットからビジネスに復帰しました。攻撃者のアドレスには何も残りませんでした。
記録として付け加えると、DAOは悪意あるアカウントを丸ごと凍結する権限も持っています。今回はそれすら不要でした。移行そのものによって、攻撃者が持っていたすべてのポジションが剥がされたからです。
これが証明したこと
私たちは、提案、投票、実行を検証するためにガバナンステストを計画していました。ところが実際に来たのは、セキュリティモデル全体に本番の圧をかける生きたインシデントでした。
モデルは持ちこたえました。
チーム単独では何もできませんでした。設計どおりです。
コミュニティはDAOを通じて、必要なことをすべて実行できました。攻撃に使われた入口を閉じ、攻撃者から剥がし、所有者を復元しました。
その組み合わせこそが要点です。チームであれ、どんな個人であれ、単独の誰かがあなたの資産に触れることはできません。けれどコミュニティが、公開されたオンチェーン投票を通じて一緒に動けば、何かが起きたときに正義を取り戻せます。
中央集権型プラットフォームは後者を与えますが、前者はありません。多くのDeFiは前者を与えますが、後者がありません。このプロトコルには両方があります。
今すぐやるべきこと
プロトコルの防御は機能しました。ですが、このインシデントの始まりは、多くのインシデントと同じ場所でした。侵害されたウォレットです。最も強いセキュリティ層は、あなた自身が設定するものです。
今日やるべきことは3つです。
1. financial passwordを設定する。 資金移動に必要な、ログインとは別のパスワードです。詐欺師がこれなしであなたのアカウントに入り込んでも、そこで壁にぶつかります。
2. プラットフォームが提供するすべてのセキュリティ層を有効にする。 取引用のTAN codes、2FA、そしてアクション確認用の公式Telegram botです。層が1つ増えるたびに、攻撃者が破らなければならないものが1つ増えます。
3. シードフレーズを、ビジネスそのものとして守る。 実際そうだからです。どんなWebサイトにも入力しないでください。誰にも共有しないでください。クラウドのメモやスクリーンショットに保存しないでください。
これらの層を設定していなければ、侵入した攻撃者はすばやく動けます。あなたが有効にする層の一つひとつが、相手を遅らせるか、完全に止めます。
新機能: Secret Code
今回のケースで、もう1つの層が意味を持つ場所が見えました。だから追加します。
来週中に、私たちは Secret Code をアカウントセキュリティシステムの新しい要素として展開します。
仕組みはこうです。
financial passwordを生成すると、システムはSecret Codeを作成します。ランダムな単語が1つだけ、あなたに一度だけ表示されます。
すでにfinancial passwordを持っている場合も、あなたのコードが表示されます。
書き留めて、オフラインで保管してください。 シードフレーズと同じ扱いをしてください。
その後は、サポートに対するセキュリティ上デリケートな依頼、financial passwordのリセット、回復アクション、そのカテゴリに入るものすべてで、Secret Codeを答える必要があります。
コードがなければ、変更もありません。たとえ攻撃者があなたのメールやメッセージを乗っ取っても、その単語なしにサポートへあなたになりすますことはできません。
昨日の投票は、1つのアカウントを直しただけではありません。本番環境で、本物のリスクのもと、このプロトコルがユーザーを守れることを示しました。しかも、誰かが中央集権的な権力を握ることなく。
攻撃されたユーザーはビジネスを取り戻しました。攻撃者は何も得ずに去りました。コミュニティがそれを実現しました。公開で、オンチェーンで、投票によって。
正義は通りました。それこそ、このシステムが設計どおりに動いたということです。