墨汁マガジンVol.880「Vyperとは？Curve Financeハッキングの概要とVyper脆弱性を理解する」

イーサリアム最大手DeFiであるCurve Finance（カーブ・ファイナンス）の流動性プールがハッキングされ、4116万ドル（約58.7億円）相当のETHがファクトリープールから盗まれました。本稿ではCurve Financeのハッキングの概要とVyper脆弱性の問題について投資家向けにわかりやすく解説を行います。

Curve Finance(CRV)の解説一覧

Vol.475「Curve Finaceのファーミングブーストに$CRVをロックするべきか？」

Vol.523「Curve Financeがインパーマネントロスを受けづらい理由」

Vol.524「図解で理解するCurve Financeのリスク Uniswapとは異なる流動性マイニングの注意点」

Vol.536「Curve FinanceでSynthetixのsBTCやsETH、sUSDプールを利用する際のリスクと注意すべき指標」

Vol.578「Curve FinanceのCRVファーミングAPYが低下し続ける理由 プールファクトリーとは？」

Vol.594「Curve FinanceのTriCryptoプールとは？TriCryptoのリスクとインパーマネントロス」

Vol.611「Curve Financeの流動性プールの選び方 ローリスク・ハイリターンな流動性マイニングの条件は？」

Vol.634「Curve FinanceのCRV/ETH流動性プールから見える問題と闇」

Vol.669「図解で理解するCurve Financeの仕組み ”Ramping up A”の利点」

Vol.673「【図解】イーサリアム三大DEX（Uniswap,Curve,Balancer）の仕組みから比較するステーブルコインスワップ」

Vol.707「Curve FinanceのcvxCRVやveCRV-DAOのペッグが崩れる理由 リスクと特性を理解する」

Vol.768「LidoのstETHをCurve Financeで運用する場合ステーキング報酬はどうなるのか？」

Vyper脆弱性でCurve Financeが巨額のハッキング被害

2023年7月31日、DeFi最大手のステーブルコインスワップAMMの”Curve Finance”がVyperの脆弱性によりハッキング被害を受け、

JPEGd＝pETH：6,106.65 WETHの被害

メトロノーム（Metronome）＝msETH：866.55 WETHと959.71 msETの被害

アルケミックス（Alchemix）＝alETH：7,258.70 WETHと4,821.55 alETH

カーブファイナンス公式＝CRV/ETH：7,193,401.77 CRVと7,680.49 WETH、2,879.65 ETHの被害

からETHとCRVがドレインされました。

Curve Financeのハッキングはこれまにも多くの事例がありますが、個別プロジェクトに依存するのではなくCurve Finance自体が脆弱性でハッキングされたのは初の事例となります。一方で今回のハッキングの原因は上記流動性プールに使用されていたプログラミング言語”Vyper”が原因となっており、被害範囲はCurve FinanceだけにとどまらずBNBチェーン（BSC）でも同様の手口での被害が起きている状態です。

そのためイーサリアムL2のArbitrum（アービトラム）上のTricryptoなどもリスクにあり、ハッキングされていないものの即座に資産を対比する必要があるでしょう。

そもそもVyper（バイパー）とは？

Vyper（バイパー）とはイーサリアムのスマートコントラクト開発言語であり、イーサリアムが開発して広く使われているSolidity（ソリディティ）とは異なる別のスマートコントラクト開発言語であるということです。

Vyperが開発された経緯としては

１．Solidityは