600億円超えの仮想通貨をDeFiから盗み出したハッカーが全額返還するに至った経緯とは？

2021年8月10日に、分散型金融(DeFi)プラットフォームの「Poly Network」が総額6億1100万ドル(約680億円)相当の暗号資産を盗み出される事件が発生しました。この事件はDeFiのハッキング被害としては過去最大規模であることから大きな話題となっていましたが、事件の翌日にはハッカーが暗号資産の返還を始め、8月23日には盗み出された暗号資産が全て返還されたことが明らかになりました。

Poly Network Commences Full Asset Restoration | by Poly Network | Poly Network | Aug, 2021 | Medium
https://medium.com/poly-network/poly-network-commences-full-asset-restoration-7f5c548423b9

Poly Network says it's got pretty much all of that $610m in stolen crypto-coins back • The Register
https://www.theregister.com/2021/08/23/poly_network_payback/

8月10日にPoly Networkから盗まれた暗号資産の内訳は、イーサリアム：2億7300万ドル(約300億円)相当、Binanceコイン：2億5300万ドル(約280億円)相当、USDコイン：約8500万ドル(約90億円)相当と見積もられています。暗号資産のテザー(USDT)を扱うTetherは、Poly Networkの盗難報告の直後に盗まれたイーサリアムで発行された3300万ドル(約40億円)分のUSDTをブラックリストに登録。さらにセキュリティ企業のSlowMistが犯人のメールアドレスやIPアドレスを追跡していることを報告するなど、盗難事件に対する迅速な対応が行われていました。

過去最高額の総額600億円超の暗号資産がハッキングにより盗まれる - GIGAZINE

そして、翌日には暗号資産を盗み出したハッカーが「資金を返還する準備ができました」と述べ、盗んだ暗号資産のうち、イーサリアム：330万ドル(約3億7000万円)、Binanceコイン：2億5300万ドル(約280億円)全額、USDコイン100万ドル(約1億1000万円)の総額約2億6000万ドル(約290億円)をPoly Networkに返還しました。

暗号資産を返還する際に、ハッカーは「お金にはあまり興味がない。ハッキングから何かを学ぶべきではないでしょうか？」「ネットワークの安全性を確保するためのヒントを与えたいのです」などと主張していたとのこと。しかし、ブロックチェーン分析企業Ellipticでチーフサイエンティストを務めるトム・ロビンソン氏は「今回の事件は、例え暗号資産を盗むことができたとしても、ブロックチェーンの透明性から盗んだ暗号資産をロンダリングすることは非常に難しいということを示しています。ハッカーは盗んだ暗号資産を返還することが最も安全な選択肢であると結論付けたのでしょう」と述べ、ハッカーが盗み出した暗号資産の運用に苦慮している可能性を指摘していました。

600億円超の暗号資産を盗んだハッカーが4割を返還、追跡の容易さがネックとなった可能性 - GIGAZINE

ハッカーによって盗み出された暗号資産の一部が返還された後も、Tetherが凍結した3300万ドルを除く、約2億3800万ドル(約260億円)はマルチシグネチャのアドレスに保管されており、その秘密鍵をハッカーが保持している状態が続いていました。Poly Networkはこのハッカーを「Mr.WhiteHat(ミスター・ホワイトハット)」と名付け、引き続き返還を求める交渉を行いました。この交渉の中でPoly Networkはミスター・ホワイトハットに対して「システム脆弱(ぜいじゃく)性を見つけた報奨金として最大50万ドル(約5500万円)を与えます」と提案したとのこと。しかし、ミスター・ホワイトハットは「報奨金はブロックチェーンのセキュリティに貢献した技術コミュニティに提供するべきです」と述べ、提案を受け入れませんでした。

その後、Poly Networkはミスター・ホワイトハットの意をくんで、バグ報奨金プログラム専用プラットフォームImmunefiで「重大なバグを見つけた者に10万ドル(約1100万円)ずつ報奨金を与える」とするキャンペーンを実施。さらに、ミスター・ホワイトハットに対し「私たちは法的責任を負わせる意図はなく、ミスター・ホワイトハットをチーフセキュリティアドバイザーとして心から招待します」と、セキュリティ顧問への就任を打診していました。

多額の暗号資産を盗まれたPoly Networkがハッカーに対し「セキュリティ顧問にならないか」と勧誘 - GIGAZINE

そして8月23日にはミスター・ホワイトハットがマルチシグネチャの秘密鍵をPoly Networkに明かして盗み出した暗号資産を全て返還しました。Poly Networkは「ミスター・ホワイトハットから送られてきた秘密鍵が本物であることを確認しました。これにより私たちは盗み出された暗号資産を全て取り戻しました。ミスター・ホワイトハットが約束を守ってくれたことに感謝します」「Tetherとも連絡を取り合い、USDTの凍結解除手続きを進めています」と述べ、ユーザーに暗号資産を返還する準備を進めています。

また、ミスター・ホワイトハットは「私の野蛮な行動や狂った行動がPoly Networkに危機をもたらしたことを認めなければなりません。迷惑をかけて申し訳ありません」と謝罪しています。

ミスター・ホワイトハットがDeFiの脆弱性を突いて暗号資産を盗み出した今回の事件について、ロビンソン氏は「安全な分散型アプリケーションを構築することは非常に困難です。ミスター・ホワイトハットは非常に貴重な人材である可能性が高いため、多くの企業がミスター・ホワイトハットの採用に取り組むと考えられます」と指摘しています。