分散型金融（DeFi）プラットフォームのMoonwellは、100万ドル規模の攻撃を受ける被害に見舞われました。2025年11月4日に発生したこのインシデントは、DeFiプロトコルが外部価格データに依存する構造に潜む重大な脆弱性を露呈しました。攻撃者はBaseおよびOptimismネットワーク上で稼働するレンディングプロトコルを標的とし、オラクルの価格フィードを操作する高度なフラッシュローン攻撃を通じて資金を奪い取りました。
この事件は、ブロックチェーン・セキュリティ企業BlockSecがMoonwellのスマートコントラクトを狙う不審なトランザクションを検知したことから明るみに出ました。同社の分析によると、攻撃者はrsETH/ETHオラクルの不具合を悪用し、再ステーキングされたETHのラップトークン（wrstETH）の価格をトークン1つあたり約580万ドルと誤って報告させました。実際の基礎資産であるETHの市場価格が3,500ドル未満であったことを踏まえると、これは極端な過大評価でした。
この価格誤差を利用して、ハッカーはフラッシュローン攻撃を繰り返し実行し、ごくわずかな担保で多額の暗号資産を借り入れることに成功しました。セキュリティ企業CertiKは、オラクルの不具合により攻撃者が「約0.02 wrstETHをフラッシュローンで借り入れて預け入れただけで、20 wstETH以上を何度も借りることができた」と報告しています。
このエクスプロイトにより、最終的にハッカーが得た利益は約295 ETH、価値にしておよそ100万ドルと見積もられています。
脆弱性のパターン
今回の侵害は、Moonwellにとって過去3年間で4回目となる大規模なセキュリティインシデントであり、プロトコルのセキュリティ基盤に深刻な疑問を投げかけています。同プラットフォームは以前、関税発表をきっかけとした市場急落のさなかに、オラクルとDEXの価格乖離を悪用され清算メカニズムが狙われたことで、2025年10月に170万ドルを失っています。
また2024年12月には、USDCレンディングコントラクトを狙った32万ドル規模のフラッシュローン攻撃が発生しました。このときは「mToken」を装った悪意あるコントラクトが不正なトークン承認を行う仕組みが利用されました。攻撃者はTornado Cashを用いてウォレットに資金を供給し、当局が対応する前に盗んだUSDCをDAIへと迅速にスワップしました。
さらに同プロトコルは、2022年のNomad Bridgeインシデントにも関連する問題を経験しており、正確な財務的影響は依然として不透明です。この不穏な実績を受け、セキュリティ監査企業QuillAuditsは「今日もまたMoonwellのエクスプロイト。3年で4回目の大規模インシデントだ」とコメントしています。
市場への影響と投資家心理
このエクスプロイトはMoonwellエコシステムに直ちに衝撃を与えました。WELLトークンは、攻撃のニュースを受けて1日で13.5%急落し、暗号資産市場全体の3.95%下落を大きく上回る下げ幅となりました。11月4日時点でWELLは約0.0155ドルで取引されており、過去1か月で51%下落、史上最高値からの下落率は96%超に達しています。
このタイミングはMoonwellにとって非常に不運でした。同社は10月に過去最高の手数料収入を記録したばかりで、BaseとOptimism上の貸し手およびリザーブに対して合計212万ドルを分配していました。プラットフォーム側はこの成功要因を「借入需要の増加 → 金利上昇 → 収益増 → 毎月のリザーブオークションでより多くのWELLを取得」という好循環によるものと説明していました。しかし、最新のセキュリティ侵害はこうした好調な指標をかき消し、プロトコルからの資本流出懸念を呼び起こしています。
投資家の不安をさらに高めたのは、Moonwellが2025年初頭にImmunefi上のバグバウンティプログラムを終了していたことです。その数か月後に今回のような大規模攻撃が相次いだことから、この決定の妥当性に疑問が投げかけられています。
DeFiにおけるオラクル問題
Moonwellのインシデントは、分散型金融が直面する根本的な課題、すなわち「オラクル」と呼ばれる外部データソースへの依存を浮き彫りにしました。オラクルは資産価格などの現実世界の情報をスマートコントラクトに提供する一方で、新たな故障点を持ち込む存在でもあります。
今回のエクスプロイトは、rsETH/ETH価格フィードにおけるオフチェーン・オラクルの脆弱性が発端となりました。これはChainlinkが提供していた可能性も指摘されています。セキュリティアナリストは、このオラクル設定に「古いハートビート間隔と広すぎる乖離許容値」が含まれており、価格が大きく乖離しても更新がトリガーされにくい状態だったと指摘しました。
攻撃手法自体も高度なものでした。フラッシュローン（単一トランザクション内で返済が義務付けられる無担保ローン）を用い、誤ったオラクルデータに基づいて担保価値を水増ししたのです。プロトコル側が、わずか0.02 wrstETHのデポジットを11万6,000ドル超と評価していたため、攻撃者は1回のトランザクションごとに20 wstETHを借り出すことができ、複数回のオペレーションを通じてMoonwellのリザーブを吸い上げました。
ブロックチェーンアナリストは、MEV（最大抽出可能価値）ボットが脆弱性の発見と悪用に関与していた可能性を指摘しており、自動化されたトレーディングシステムがいかに高速にプロトコルの弱点を突けるかを示す事例ともなっています。
DeFi全体に広がるセキュリティ危機
Moonwellのエクスプロイトは、分散型金融にとって特に波乱の多い時期に発生しました。その前日である11月3日には、Balancerが1億2,800万ドルに及ぶ壊滅的なハッキング被害を受け、Ethereum、Berachain、Arbitrum、Base、Optimism、Polygonなど複数のブロックチェーンにまたがるV2プールが影響を受けています。
Balancerの攻撃では、「ブーステッドプール」と「manageUserBalance」関数における不適切なアクセス制御の脆弱性が悪用されました。同プロトコルのコードベースは2021年以降、11回ものセキュリティ監査を受けていたにもかかわらず、この規模の被害を防げなかったことから、「十分な監査＝安全」とは限らない現実が突きつけられました。
さらに、Ethereum互換のレイヤー1ブロックチェーンであるBerachainでも、Ethena/Honeyトリプールに関連したエクスプロイトが発生しました。Berachain Foundationは被害拡大を防ぐためネットワークを一時停止し、Chief Smokey OfficerのSmokey The Beraは「約1,200万ドル相当のユーザー資金が危険にさらされたため……これらユーザーを保護すべくバリデータセットの調整を試みた」と説明しています。
これら3件のインシデントにより、2025年11月初旬だけで少なくとも2億2,200万ドルがDeFiプロトコルから失われたとThe Blockは推計しており、ブロックチェーンネットワークをまたぐ流動性および担保システムがいかに相互接続され、連鎖リスクを抱えているかが浮かび上がりました。
まとめ
PeckShieldのデータによれば、10月のDeFiにおけるハッキング損失額は1,818万ドルと、15件のインシデントで前月比85.7%減（9月は1億2,700万ドル超）となりましたが、11月の一連の攻撃は依然として重大な脆弱性が残されていることを示しています。オラクル操作やフラッシュローンを利用した攻撃は、DeFiプロトコルに対する最も効果的な攻撃手法の一つであり続けています。
業界専門家は、こうした事例を受けて、より厳格なオラクル検証要件やマルチソース価格検証システムを求める声が一段と高まると見ています。DeFiプロトコル側には、より強固な価格サニティチェック、オラクル更新の高速なハートビート間隔、異常な価格変動を検知した際に自動的にオペレーションを一時停止するサーキットブレーカーなどの導入が求められるでしょう。
Moonwellにとって、信頼回復への道のりは険しいものになりそうです。TVL（預かり資産）がピーク時の約4億ドルから最新攻撃前には約2億3,400万ドルまで減少しており、今後さらなる減少も予想される中で、同プロトコルには包括的なセキュリティアップグレードの実施や、被害ユーザーへの補償検討といったプレッシャーがかかっています。
2025年11月の一連のエクスプロイトは、数年にわたる開発と数十億ドル規模の資産がDeFiプロトコルにロックされている現状にもかかわらず、このセクターが依然として高度な攻撃に対して脆弱であるという厳しい現実を突きつけました。採用が進み、より多くの機関投資家マネーが分散型金融に流入するにつれ、より強力なセキュリティ対策、信頼性の高いオラクルシステム、そして包括的なリスク管理体制の整備は、これまで以上に重要性を増しています。