忠実な宅配便が武器になるとき:マーク・プライスが過剰液体清算の嵐を巻き起こす

2025年3月、日取引額が200万ドルに満たない冷門トークンJELLYが、ある取引プラットフォームで千万ドル規模の清算嵐を引き起こしました。驚くべきことに、攻撃者はスマートコントラクトを改ざんすることも、従来のコードの脆弱性を利用することもなく、プラットフォームの最も核心的なセキュリティメカニズムであるマーク価格を武器に変えたのです。

これは単なるハッキング攻撃ではなく、システムルールへの「コンプライアンス攻撃」です。攻撃者はプラットフォームの公開された計算ロジック、アルゴリズムプロセス、リスク管理メカニズムを利用して、市場とトレーダーにとって非常に危険な「ノーコード攻撃」を引き起こしました。本来、市場の「中立と安全」の指標として機能すべきマーク価格が、この事件では盾から刃物に変わりました。

本稿では、理論と実践の2つの側面から、アルトコインの永続契約市場におけるマーク価格メカニズムのシステムリスクを深く分析し、Jelly-My-Jelly攻撃事件を詳細に振り返ります。この事件は、オラクル設計の構造的脆弱性や新しい流動性プールの両刃の剣的特性を明らかにしただけでなく、現在の主流の清算ロジックが極端な市場状況下でユーザー資金保護において内在的な非対称性を露呈しました。

永続契約の核心的逆説:虚偽の安全感がもたらす清算メカニズムの偏り

マーク価格:一場誤って安全だと思われたコンセンサスゲームからもたらされる清算傾向性

マーク価格が攻撃の入り口となる理由を理解するには、まずその構成論理を分解する必要があります。各取引所の計算方法には若干の違いがありますが、その核心原則は非常に一致しています——"指数価格"を中心に構築された三値中央値メカニズムです。

指数価格はマーク価格の基石です。それはデリバティブ取引所自体からではなく、複数の主要な現物プラットフォームでのその資産の価格を加重平均して計算され、プラットフォーム間および地域間の公正な参考価格を提供することを目的としています。

典型的マーク価格計算方法は以下の通りです:

マーク価格=中央値(Price1、Price2、最終取引Price)

• Price1 = Index Price × (1 + Funding Rate Basis ): 契約価格をインデックス価格に固定し、市場の期待を考慮に入れます。

• Price2 = インデックス価格 + 移動平均基準: 短期的な価格の異常を平準化するために使用されます。

• 最後の取引価格 = 衍生品プラットフォームでの最新の取引価格。

中央値の導入は、異常値を排除し、価格の安定性を向上させるために行われました。しかし、この設計の安全性は、1つの重要な仮定に完全に依存しています。それは、入力データソースの数が十分であり、分布が合理的で、流動性が高く、協調的に操作されることが難しいということです。

しかし、現実には、ほとんどのアルトコインの現物市場は非常に脆弱です。一旦攻撃者がいくつかの流動性の低いプラットフォームの価格をコントロールできれば、指数価格を"汚染"し、悪意のあるデータを公式にマーク価格に注入することができます。この攻撃は最小限のコストで大規模なレバレッジ清算を引き起こし、連鎖反応を引き起こす可能性があります。

言い換えれば、アグリゲーションメカニズムの本来の目的はリスクを分散させることですが、流動性が薄い市場では、逆に攻撃者が制御可能な「中央集権的な弱点」を形成しています。デリバティブプラットフォームがそのルールの透明性と予測可能性を強調すればするほど、攻撃者は「プログラム的にルールを利用」し、合規な破壊の道筋を構築できるようになります。

清算エンジン:プラットフォームの盾、そして刃

市場価格が不利な方向に急速に変動すると、トレーダーのマージンは浮損によって侵食されます。一度残りのマージンが「維持マージン率」を下回ると、清算エンジンが起動します。

これらのプロセスにおいて、最も重要なトリガー基準はマーク価格であり、プラットフォーム自体の最新の取引価格ではありません。これは、現在の市場取引価格がまだあなたの清算ラインに達していなくても、「見えない」マーク価格が達成されれば、清算が即座にトリガーされることを意味します。

さらに警戒すべきは"強制平倉"メカニズムです。

多くの取引所では、穿倉リスクを避けるために、リスク管理システムは通常、保守的な清算パラメータを採用しています。強制清算が発生した場合、清算価格が実際の損失がゼロになる価格よりも優れていても、プラットフォームは通常、この部分の「強制清算の余剰」を返還せず、直接プラットフォームの保険基金に注入します。これにより、トレーダーは「明らかにまだ保証金があるのに、なぜか前倒しで清算された」という錯覚を抱き、アカウントが直接ゼロになります。

このメカニズムは流動性の低い資産で特に一般的です。プラットフォームは自らのリスクヘッジのために、清算ラインをより保守的に設定し、価格の変動の中でポジションが「早めに決済される」ことが容易になります。その論理は合理的ですが、結果としてプラットフォームとトレーダーの極端な市場状況における利益の立場が微妙にずれます。

清算エンジンは中立的なリスク管理ツールであるべきだが、収益の帰属、パラメータの選択、トリガーロジックにおいて、プラットフォームの利益化の傾向を持っている。

マーク価格の失効は清算エンジンの歪みを引き起こす

このプラットフォームで損失を嫌う傾向がある中、指数価格とマーク価格の激しい変動が、この強制清算ラインの前(の後)の移動をさらに助長しました。

マーク価格の理論は、多源データと中央値アルゴリズムを統合することで、公正で操作に強い価格基準を提供します。しかし、この理論は流動性が豊富な主流資産に適用される際には成り立つかもしれませんが、流動性が薄く、取引所が集中しているアルトコインに直面した場合、その有効性は厳しい挑戦に直面します。

中央値の失効:データソース集中の統計学的ジレンマ

• 大規模データセットにおける有効性:ある価格指数が10の独立した、高流動性のデータソースを含むと仮定します。そのうちの1つのデータソースが何らかの理由で極端な価格を示した場合、中央値アルゴリズムはそれを容易に外れ値として認識し無視し、中央の値を最終価格として取り、指数の安定性を維持します。

• 小さなデータセットの脆弱性: 現在、私たちは典型的なアルトコインのシナリオを考えています。

• 3つのデータソースのシナリオ: ある仮想通貨のマーク価格指数が、取引所(A、B、C)の現物価格のみを含む場合、この時、中位数は3つの価格の中で真ん中に位置するものになります。もし悪意のある行為者が同時に2つの取引所(、例えばAとB)の価格を操作した場合、Cの価格がどれほど真実であっても、中位数はAとBの操作された価格によって決定されます。この時、中位数アルゴリズムの保護効果はほとんどゼロになります。

• 二重データソースのシナリオ：指数が2つのデータソースのみを含む場合、中位数は数学的に2つの価格の平均値と等しい。この場合、アルゴリズムは異常値を除外する能力を完全に失います。いずれかのデータソースの激しい変動は、直接的に、減衰なくマーク価格に伝達されます。

ほとんどのアルトコインにとって、その取引深度と上場取引所の数は非常に限られており、これによりそれらの価格指数は上述の「小データセット」の罠に陥りやすい。そのため、取引所が主張する「マルチソースインデックス」によってもたらされる安心感は、アルトコインの世界ではしばしば幻に過ぎないことが多い。多くの場合、最新の取引価格はマーク価格と等号を結ぶことが多い。

オラクルのジレンマ:現物の流動性が枯渇することが武器となる

マーク価格の根基は指数価格であり、指数価格の源頭はオラクルです。CEXであれDEXであれ、オラクルはオンチェーンとオフチェーン間の情報伝達の橋梁の役割を担っています。しかし、この橋梁は重要であるにもかかわらず、流動性が不足している時には非常に脆弱です。

オラクル:オンチェーンとオフチェーンの脆弱な橋をつなぐ

ブロックチェーンシステムは本質的に閉じられたものであり決定論的です。スマートコントラクトは、資産の市場価格などのチェーン外データに自発的にアクセスすることができません。価格オラクルが登場しました。これはミドルウェアシステムで、オフチェーンデータを安全かつ信頼性高くオンチェーンに伝送し、スマートコントラクトの運用に"現実世界"の情報入力を提供する役割を担っています。

永続的な契約取引プラットフォームや貸出協定などのコアDeFi基盤施設において、オラクルが提供する価格データは、そのリスク管理ロジックの基石をほぼ構成しています。しかし、よく見落とされる事実は、「誠実な」オラクルが必ずしも「合理的」な価格を報告するわけではないということです。オラクルの責任は、観察可能な外部世界の状態を正確に記録することであり、価格がファンダメンタルから逸脱しているかどうかを判断することではありません。この特性は、全く異なる二つの攻撃パスを明らかにします:

• オラクル攻撃: 攻撃者が技術手段を用いてオラクルのデータソースまたはプロトコルを改ざんし、誤った価格を報告させる。

• 市場操作:攻撃者は実際に外部市場を操作し、意図的に価格を引き上げたり引き下げたりしますが、正常に機能しているオラクルはこの"操作された"市場価格を正確に記録して報告します。オンチェーンプロトコルは侵害されていませんが、"情報中毒"のために予期しない反応が生じます。

後者、まさにMango MarketsとJelly-My-Jelly事件の本質である:オラクルが攻撃されたのではなく、その「観測ウィンドウ」が汚染されたのである。

攻撃の支点:流動性不足が武器になるとき

この種の攻撃の核心は、ターゲット資産の現物市場における流動性の劣位を利用することにあります。取引が薄い資産の場合、小額の注文であっても価格が激しく変動する可能性があり、これが操縦者にとってのチャンスを提供します。

2022年10月にある取引プラットフォームへの攻撃は「典型的」と言える。攻撃者はそのガバナンストークンの極度の流動性枯渇(の際に日次取引額が10万ドル未満)であることを利用し、複数の取引所に約400万ドルを集中投入して購入し、成功裏にトークン価格を非常に短時間で2300%以上引き上げた。この「異常価格」はオラクルによって完全に記録され、オンチェーンプロトコルに供給され、その結果、借入限度額が急増し、最終的に「合法的に」プラットフォームの全資産(約1.16億ドル)を掏空した。

攻撃パスの詳細:五つのステップでプロトコルの防線を突破

1. 目標選択:攻撃者はまずターゲットとなるトークンを選定し、通常以下の条件を満たしている:ある主要なデリバティブプラットフォームにおいて永続契約が上場している;オラクル価格がいくつかの既知の流動性の薄い現物取引所から来ている;日々の取引量が少なく、注文簿が希薄で、操作されやすい。

2. 資本調達: 多くの攻撃者は「フラッシュローン」を通じて一時的な巨額資金を獲得します。このメカニズムは、単一の取引で資産を借り入れ、返済することを可能にし、担保を必要とせず、操作コストを大幅に削減します。

3. 現物市場のフラッシュクラッシュ: 攻撃者は極めて短時間で、すべてのオラクルによって監視されている取引所で大量の買い注文を同期して出します。これらの注文は迅速に売り注文を掃除し、価格を高値に押し上げます——その真の価値から大きく逸脱して。

4. オラクル汚染: オラクルは上記の操作された取引所から忠実に価格を読み取るため、中位数、加重平均などの抗変動メカニズムを採用しても、同時に複数のソースからの操作には抵抗しにくい。最終的に得られる指数価格は深刻に汚染される。

5. マーク価格感染:汚染された指数価格がデリバティブプラットフォームに入ることで、マーク価格の計算に影響を与えます。清算エンジンがリスク範囲を誤判断し、大規模な"清算"を引き起こすと、トレーダーは大きな損失を被り、攻撃者は逆ポジションや借入操作を通じてアービトラージを実現できます。

攻撃者の「戦闘マニュアル」:透明性の二重の刃

CEXでもDEXプロトコルでも、"オープンソースと透明性"を美徳とし、オラクルメカニズム、データソースの重み、価格更新頻度などの詳細を公開して、ユーザーの信頼を築くことを目指しています。しかし、攻撃者にとって、これらの情報は攻撃計画を策定するための"取扱説明書"となってしまいます。

ある取引プラットフォームを例にすると、そのオラクルアーキテクチャはすべてのデータソース取引所とその重みを公開しています。攻撃者はこれを基に、流動性が最も弱い取引所にどれだけの資金を投入すれば最終的な加重インデックスを最大限歪めることができるかを正確に計算できます。このような"アルゴリズムエンジニアリング"により、攻撃は制御可能で予測可能になり、コストが最小化されます。

数学はとても単純ですが、人はとても複雑です。

!

ハンティンググラウンド:ある取引プラットフォームの構造的リスク分析

攻撃原理を理解した後、「攻撃者」は次に実施するのに適した「戦場」—ある取引プラットフォームを選ぶ必要があります。オラクルを操作することは一般的な攻撃手段ですが、「Jelly-My-Jelly」事件がこのプラットフォームで発生し、深刻な結果を引き起こした根本的な原因は、このプラットフォーム特有の流動性構造と清算メカニズムにあります。ユーザー体験と資本効率を向上させることを目的としたこれらの設計は革新に満ちていますが、意図せず攻撃者に理想的な機会を提供しました。