TokenpostがProtosを引用した報道によると、Hedera（HBAR）ネットワーク上の貸出プロトコルBonzo Lendが週末に攻撃を受け、損失額は約900万ドルに上るという。報道では、攻撃者がオラクル価格取得の欠陥を悪用し、担保資産を異常に高く評価させ、実際の価値をはるかに超える資金を借り出したとされる。さらに報道では、問題はインフラサービス提供者であるSupra Networkが提供するオラクルにあり、Supraは最近複数のチェーン上のオラクルにパッチを適用したが、Hedera上のコントラクトが漏れており、それが最終的に攻撃対象になったと指摘されている。
補足しておきたい点がある。上記の金額、そして「複数チェーンにパッチを当てたがHederaが漏れた」という因果関係は、現時点ではすべてメディアの二次報道に基づくものであり、Bonzo LendまたはSupraによる本件についての公式な事後声明や監査報告書は確認できていない。読者が具体的な数字を引用する際は「報道によれば」という限定を付けるべきだ。
編集部の見解：この件はあなたのUカードとはあまり関係ないが、見ておく価値はある
まず結論を述べて誤解を避けたい。今回攻撃を受けたのはオンチェーンの貸出プロトコルであり、発行機関でもステーブルコイン自体でもない。 もしあなたのUSDTが取引所やカストディ型Uカードのアカウント――例えば Bybit Card、MPCard、OKX Card ――に置かれているなら、今回の事件はあなたの残高に直接の影響はない。あなたの資金はBonzo Lendに預けられておらず、Hedera上で問題となったそのオラクルも経由していない。
本当に再評価が必要なのは別のタイプのユーザーだ。Uカードにチャージする予定の資金を一時的にDeFi貸出プロトコルに預けて利息を稼ぎ、必要になったら引き出してチャージする人たちである。 この運用は強気相場では珍しくない――USDTをあるプロトコルに預けて年利5%〜10%を得て、カードにチャージする直前に償還するというやり方だ。今回の事件が浮き彫りにしたのは、まさにこの経路に潜むリスクだ。利息を稼いでいるつもりが、実際にはプロトコルのスマートコントラクトリスクとオラクルリスクを負っている。そしてこの2種類のリスクが顕在化した場合、損失は元本レベルに及ぶことが多く、稼いだわずかな利息をはるかに上回る。
- 7日以内：チャージ用資金を小規模または新規に立ち上がった貸出プロトコルに預けている場合は、そのプロトコルがどのオラクルを使用しているか、監査が完了しているかを確認し、必要であればまず償還することを推奨する。
- 30日以内：Supra Networkが本件について公式声明や補償方針を発表するか注視する。現時点でSupra公式サイトには製品紹介のみが掲載されており、本件に関する発表はない。
- 90日以内：この種の事件は通常、オラクルサービス提供者による全経路の再点検を促す。短期的にはHederaエコシステムのDeFi活動が停滞する可能性があるが、中央集権型の発行チャネルへの波及はない。
過去事例との比較：オラクル操作は新しい手口ではない
オラクルが操作され、貸出プロトコルが過剰に融資してしまうというのは、DeFiで繰り返し起きてきた攻撃パターンであり、今回が初めてではない。
最もよく知られている公開事例は、2022年10月のMango Markets事件だ。攻撃者はMNGOトークンのオラクル価格を操作して担保評価額を吊り上げ、その後プロトコルの資金庫を空にした。損失額は広く約1億ドル規模と報道されている（具体的な数字は各報道により異なり、ここでは公開報道の口径に基づくものであり、当サイト独自の算定ではない）。
- 共通点：核心的な攻撃ロジックは同じである――担保が人為的に過大評価され、攻撃者が実際の価値をはるかに超える資金を借り出す。
- 相違点：Mango事件では低流動性トークンの現物価格が操作されたのに対し、今回は報道によればオラクルサービス提供者のコントラクト層の脆弱性（あるチェーンのパッチ漏れ）であり、市場操作というよりインフラ上の欠陥に近い性質を持つ。
Uカード利用者にとって、この2つの事件が伝えるメッセージは同じである。利回り型DeFiプロトコルの資金安全性と、日常的にチャージに使うカストディ型アカウントは、まったく異なる信頼モデルである。 両者とも「USDT」と呼ばれているからといって、リスクを混同してはいけない。
コンプライアンスの観点：ステーブルコインや発行機関の問題ではない
よくある誤解を整理しておきたい。オラクルの脆弱性はスマートコントラクト層の技術的欠陥であり、USDT自体のコンプライアンスや発行機関のライセンス状況とは無関係である。今回の事件がステーブルコインカードに対する規制対応を引き起こすことはない。
アジア太平洋地域のコンプライアンス環境に関心のある読者は、当サイトの香港コンプライアンスガイドおよびシンガポールコンプライアンスガイドを参照してほしい。両地域はステーブルコインおよび仮想資産サービス提供者に対して比較的明確なライセンスフレームワークを持っており、カストディ型Uカードはこれらの枠組みの下で運用されている点で、匿名のオンチェーン貸出プロトコルとはまったく異なる規制上の位置づけにある。
現時点での区分はおおむね以下の通りだ。
| シナリオ | 規制上の位置づけ |
|---|---|
| ライセンスを持つ機関が発行するカストディ型Uカード | 多くのアジア太平洋地域の法域で明確な枠組みがある |
| 中央集権型取引所カード（Bybit、OKXなど） | 法域により異なるが、グレーゾーンから明確な許認可までさまざま |
| 監査を受けていないオンチェーン貸出プロトコル | 規制の後ろ盾はなく、リスクは自己責任 |
今後注目すべきポイント
- Bonzo Lend / Supraの公式声明：完全な事後分析（ポストモーテム）と脆弱性の技術的詳細が公表されるかどうか。本稿執筆時点では未確認。
- 補償または国庫による補填策の有無：DeFiプロトコルが被害を受けた後にユーザーへ補償を行うかどうかは、そのプロトコルの存続を左右することが多い。
- Supraによる他の接続チェーンの再点検結果：今回の報道にある「Hederaが漏れた」という説明について、それが孤立した事象なのかSupra公式による確認が必要である。
- HederaエコシステムのTVLの変化：事件の影響がどの程度波及したかを見る指標となり得る。
編集部からの提言
- カストディ型Uカード（Bybit、MPCard、OKXなど）を保有しているユーザーは、特に何もする必要はない。 あなたの残高は今回の事件と無関係だ。
- チャージ用資金をDeFiプロトコルに預けて利息を得ているユーザー： プロトコルが使用しているオラクルと監査状況を確認し、新規に立ち上がったばかりでTVLが小さいプロトコルには警戒を強めることを推奨する。チャージ用資金はカストディ型アカウントに置くか、必要に応じて償還することを優先し、数パーセントの年利のために元本レベルのリスクを負わないようにするべきだ。
- アジア太平洋地域で長期的にUカードを使いたいユーザー： ライセンスとカストディの経路を優先的に検討し、Bybit CardレビューやMPCardレビューを参考にしながら、「使えるかどうか」と「資金をどこに置くのがより安全か」を分けて評価することを推奨する。
- やってはいけないこと： このニュースを理由にUSDTやHBARをパニック売りしないこと。事件の影響は単一の貸出プロトコルに限定されており、ステーブルコインの支払い能力や発行チャネルとは直接の関連はない。
（本稿で言及した金額や因果関係に関する記述はすべてメディアの二次報道に基づくものであり、公式声明が発表され次第、本ページを更新する。）