Cardano のレンディング（貸し借り）プロトコル FluidTokens が 9 月 30 日、攻撃を受けてレンディングを一時停止したと公式 X で発表しました。チームはスマートコントラクトの脆弱性ではなく、価格などの外部データを届けるオラクルの不具合が原因で、影響は 1 つの市場に限られたと説明し、48 時間以内の全面再開を見込んでいます。
FluidTokens は前日の 9 月 29 日に ADA の報酬上乗せ（年 6% まで）を発表したばかりでした。DeFi のリスクはコードの中だけでなく、コードが外から受け取るデータの側にもある——今回の一件は、その点をあらためて見せています。発表の中身と、まだ示されていない点、利用者が確かめたいことを順に整理します。
前日の記事: FluidTokens、ADA の報酬を年6%まで上乗せ
2 本の公式投稿で分かっていること
最初の投稿は日本時間 9 月 30 日 9 時 57 分です。FluidTokens は、ここ数時間のうちに攻撃があり、レンディングプロトコルを一時停止したと告知しました。攻撃はすぐに止められ、被害は最小限だったとしています。影響を受けた貸し手は少数で、数時間以内に返金する方針です。
約 1 時間後の 11 時 9 分には続報が出ています。要点は次の 3 つです。
- 攻撃者はすでに無力化した。スマートコントラクトをリバースエンジニアリング（逆解析）し、恒久的にブロックした
- 攻撃はスマートコントラクトの脆弱性によるものではなく、オラクルのデータ供給（オラクルフィード）の問題が原因で、1 つの市場に限られた
- 運用は 48 時間以内に全面再開する見込み
コントラクトをブロックしたという一文は、文脈からは攻撃に使われた側のコントラクトを指すと読めますが、どのコントラクトなのかは投稿では明示されていません。
「コントラクトの欠陥ではない」が意味すること
レンディングのプロトコルは、担保として預かった資産の価格をもとに、借りられる上限や清算の水準を決めます。ブロックチェーンの中からは取引所の価格を直接見られないため、価格を外から持ち込む仕組みが必要になります。これがオラクルです。
一般に、オラクルが届ける価格が実勢とずれると、コントラクト自体が設計どおりに動いていても、担保の価値以上に借りられたり、本来は起きない清算が起きたりする余地が生まれます。FluidTokens の説明どおりなら、今回はコードの書き間違いではなく、コードに入ってくる数字の側に問題があったことになります。
この区別は利用者にとって意味があります。コントラクトの脆弱性であれば、同じコードを使う全市場に影響が及びえますが、特定のデータ供給の問題であれば、影響はそのデータを参照する市場に閉じやすくなります。「1 つの市場に限られた」という説明は、この構造と整合しています。
一方で、現時点の投稿からは分からないことも多く残っています。
- 影響を受けたのはどの市場（どのトークンの組み合わせ）か
- どのオラクルの、どのような不具合だったのか
- 被害額と、返金の対象になった貸し手の数
- 再開にあたって、オラクル側・プロトコル側で何を変えるのか
これらは事後報告（ポストモーテム）で示されるのが通例ですが、FluidTokens は公開の時期をまだ示していません。
預けている方・借りている方が確かめること
停止中は、預け入れや引き出し、借り入れの操作ができない可能性があります。レンディングに ADA などを預けている方は、慌てて別の経路を探すより、公式の告知を待つのが安全です。
返金の対象は、影響を受けた少数の貸し手とされています。自分が対象かどうかは、公式アカウントや公式サイトからの案内で確認してください。インシデントの直後は、返金や補償を装って連絡してくる詐欺が出やすい時期です。FluidTokens は前日の発表でも、チームから DM を送ることはないと注意を呼びかけていました。DM で届く「返金手続き」のリンクは開かないでください。
前日に発表された報酬上乗せ（2026 年末まで・指定 7 市場）が停止中どう扱われるかも、現時点では説明がありません。上乗せを目当てに預け入れを考えていた方は、再開の告知でこの点が触れられるかを見てから判断しても遅くはありません。
次に見るもの
確認先は FluidTokens の公式 X アカウント（@FluidTokens）です。見るべき節目は 2 つあります。
1 つ目は、続報で示された 48 時間以内という期限です。続報の投稿時刻から数えると、日本時間 10 月 2 日の昼ごろにあたります。再開の告知が出るか、出るならどの市場から戻るかを見てください。
2 つ目は、ポストモーテムの公開です。影響を受けた市場とオラクルの名前、被害額が示されれば、今回の一件がどこまで FluidTokens 固有の問題で、どこから Cardano の DeFi 全体が参照するデータ基盤の問題なのかを切り分けられるようになります。
ことば
- オラクル — ブロックチェーンの外にある価格などのデータを、スマートコントラクトが読める形で届ける仕組み。レンディングは担保評価と清算をこの数字に頼るため、コードが正しくても入力がずれると被害が出ます。
- ポストモーテム — 障害やインシデントのあとに、原因・影響範囲・再発防止策をまとめて公開する事後報告。今回の攻撃がどの市場のどのデータで起きたかは、ここで初めて確定する見込みです。
一次ソース / 関連リンク
- FluidTokens 公式 X（レンディング一時停止の告知・日本時間 9 月 30 日 9:57）
https://x.com/FluidTokens/status/2105099703599993084 - FluidTokens 公式 X（攻撃者の無力化・原因と再開見込み・日本時間 9 月 30 日 11:09）
https://x.com/FluidTokens/status/2105117787760844990 - SIPO.TOKYO: FluidTokens、ADA の報酬を年6%まで上乗せ（9 月 29 日）
https://sipo.tokyo/signal-20260929-af88a4cb/