Cardano の DEX（分散型取引所）VyFi が 9 月 16 日午前（日本時間）、ユーザー同士でトークンを直接交換する機能「Safe Swaps」で不正な流出（エクスプロイト）を確認し、RISE と PALM の二つのコミュニティに影響が出たと公式 X で公表しました。Safe Swaps は調査のあいだ停止され、VyFi は DEX のほかの機能とは別のシステムで、現時点の調査ではそれ以外は侵害されていないとしています。
流出の規模、原因、どの資産がどれだけ動いたのかは、まだ公表されていません。Cardano の DeFi では 9 月 13 日に Splash のプールからも約 242 万 ADA が持ち出されたばかりで、一週間のうちに二つ目の事案になります。この記事では、公式に書かれていることと、まだ書かれていないことを分けて整理します。
■ VyFi が公表した 4 つのこと
VyFi の最初の投稿は 9 月 16 日 10 時 21 分（日本時間）です。内容は短く、読み取れるのは次の 4 点です。
- Safe Swaps に関わるエクスプロイトを特定し、RISE と PALM のコミュニティが影響を受けた
- チームが原因を調査中で、予防措置として Safe Swaps は使えない状態にしている
- Safe Swaps は DEX のほかの機能とは切り離されたシステムで、現時点の調査では DEX とプラットフォームのほかの部分は侵害されていない
- わかったことは順次共有し、何が起きたかを把握した時点で公開の報告書を出す
同じ日の 17 時 55 分には、その日の夜に予定していた X のスペース（音声配信）を 24 時間延期すると続けて投稿しました。延期の理由は「状況への対応と、コミュニティに正確な情報を伝えることを優先するため」です。このスペースは、もともと 9 月 16 日 20 時（日本時間）から VyFi の新機能や市場環境を話す回として告知されていたものでした。
■ Safe Swaps はどういう機能か
VyFi のドキュメントによると、Safe Swap は Cardano のネイティブトークンを、価格への影響やスリッページ（想定との価格のずれ）なしに相対で交換するための仕組みです。取引所のプールを通すのではなく、ユーザー同士が条件を決めて交換する、いわゆる OTC（相対取引）に近い使い方を想定しています。ドキュメントには 3 つの種類が並んでいます。
- Private Swap — 特定の 2 人のウォレット間で、トークンを信頼に頼らずに交換する
- Public Swap — あるトークンを別のトークンと交換したいという依頼を公開し、誰でも応じられるようにする
- Claims — 一括インポートを使って、多数のユーザーにトークンを配布する
今回の公表では、この 3 つのうちどの部分で問題が起きたのかは書かれていません。影響が「RISE と PALM のコミュニティ」という特定のトークンの単位で語られている点は、プール全体の資金が抜けた Splash の事案とは形が違うことをうかがわせますが、仕組みの上で何が起きたのかは報告書を待つ必要があります。
■ PALM 側の発表と、時間の並び
影響を受けたとされる PALM は、農産物のサプライチェーン追跡などを手がける Palm Economy のトークンです。Palm Economy は VyFi の公表より前、9 月 16 日 0 時 55 分（日本時間）に、PALM の価格が急落したことを受けて声明を出していました。
その声明では、マーケットメーカーや配布のパートナーと一緒に原因を調べていること、急落はチームに割り当てられた PALM の売却によるものではないこと、チームとプロジェクトのウォレットは初期確認では安全であることが述べられています。そして VyFi の公表から約 3 時間後の 13 時 9 分、Palm Economy は VyFi の更新に謝意を示したうえで、「PALM に影響した SafeSwap のエクスプロイト」について VyFi の最終報告を待っているとし、利用者に警戒を呼びかけました。
時間の順に並べると、PALM の価格急落の声明が先で、VyFi の公表が後になります。ただし、価格の急落が今回の流出によるものかどうかは、VyFi も Palm Economy も明言していません。二つの出来事を結びつけるのは、報告書が出てからにするのが正確です。
■ いま利用者ができること
VyFi は「DEX のほかの部分は侵害されていない」としているので、Safe Swaps 以外の機能を使っていた方が、今回の公表を理由に直ちに何かをする必要があるとは書かれていません。一方で、Safe Swaps で交換の依頼を出していた方や、RISE・PALM を Safe Swaps 経由で受け取る予定だった方は、自分の取引がどうなっているかを VyFi の公式チャネルで確認するのが先決です。
流出事案のあとには、「補償の受け取り」「資産の回収」をうたうリンクが出回りやすくなります。Cardano では SecondFi の移行をめぐっても、公式を装うアカウントや偽アプリが現れています。報告書や補償の案内が出る場合も、送られてきたリンクからではなく、VyFi の公式 X やサイトから自分でたどって確認するのが安全です。
一週間に二つの事案が続いたことで、Cardano の DeFi では「監査を受けたか」だけでなく、「どの機能が、ほかの機能とどう切り離されているか」が問われるようになっています。VyFi が今回、最初の投稿で「Safe Swaps は別のシステム」と明記したのは、その問いに先回りした説明でもあります。その切り離しが実際にどこまで効いていたのかを示すのも、これから出る報告書です。Splash の件の原因と経緯は、9 月 14 日の Deep Dive で整理しています。
■ 報告書で確かめたい 3 点
- どの機能が破られたか — Private Swap / Public Swap / Claims のどれで、どういう条件のときに資産が動いたのか。RISE と PALM 以外のトークンの依頼や配布が影響を受けていないか
- 規模と対象 — 流出した RISE・PALM の量と、影響を受けたウォレットの範囲。補償や再開の方針が示されるか
- 延期されたスペースの中身 — VyFi は 24 時間の延期と、日程の更新を告知しています。報告書より先に、口頭で状況が説明される可能性があります
■ ことば
- エクスプロイト — プログラムの欠陥や想定外の使い方を突いて、本来は動かせない資産を持ち出すことです。9 月 13 日の Splash の件では、翌日に原因を記した調査報告（ポストモーテム）が公開されました。
- OTC（相対取引） — 取引所の板やプールを通さず、当事者どうしが条件を決めて直接交換する取引です。価格が動かない利点がある一方、交換を仲立ちするコントラクト自体の安全性に取引の成否が大きく依存します。
- PALM — Palm Economy のトークンです。同プロジェクトは農産物の産地や流通の記録を Cardano 上で証明する取り組みを進めており、今回は価格急落と SafeSwap の件で相次いで声明を出しました。
一次ソース / 関連リンク
- VyFi 公式 X : Safe Swaps のエクスプロイトについて（2026-09-16 10:21 JST）
https://x.com/VyFiOfficial/status/2100032253434941499 - VyFi 公式 X : スペースの 24 時間延期（2026-09-16 17:55 JST）
https://x.com/VyFiOfficial/status/2100146533903855762 - VyFi 公式 X : スペースの告知（2026-09-15）
https://x.com/VyFiOfficial/status/2099782124534714515 - Palm Economy 公式 X : PALM 価格急落についての声明（2026-09-16 00:55 JST）
https://x.com/palmeconomy/status/2099889829567754515 - Palm Economy 公式 X : VyFi の SafeSwap の件について（2026-09-16 13:09 JST）
https://x.com/palmeconomy/status/2100074568366817508 - VyFinance Docs : Safe Swap
https://docs.vyfi.io/vy-finance-products/safe-swap - SIPO : Splash の約242万 ADA 流出、監査済みコードにマイナス残高の確認なし（2026-09-14）
https://sipo.tokyo/deep-dive-20260914-bd44383c/