農産物の流通をブロックチェーンで追跡する Palm Economy は 10 月 15 日 (UTC)、同日に予定していた権利確定分の配布 (ベスティングの解放) を延期すると公式 X で告知しました。理由は先月の VyFi のセキュリティ侵害で、今後の配布は通常の仕組みを使わず、VyFi のチームと調整しながら手作業で行うとしています。
9 月 16 日に VyFi の相対取引機能「Safe Swaps」で不正な流出が起き、RISE と PALM のコミュニティに影響が出たことは、翌日の Signal で扱いました。それから一か月がたち、侵害の影響は流出した資産だけでなく、決められた日にトークンを配るという約束の段取りにまで及んだことになります。この記事では、告知に書かれていること、VyFi 側の説明の経緯、受け取りを待つ人が気をつけたい点を整理します。
前回の記事: VyFi の Safe Swaps で不正流出、RISE と PALM に影響
Palm Economy の告知に書かれた 4 点
告知は「VyFi のインシデントとベスティングのスケジュールについてのお知らせ」と題した短いものです。読み取れるのは次の 4 点です。
- 同日に予定していたベスティングの解放は、先月の VyFi のインフラに影響したセキュリティ侵害を受けて遅れている
- 今後の配布は手作業で行い、近く実施する見込み
- VyFi のチームと緊密に連携し、通常のプラットフォームの枠の外で配布を進める
- VyFi の完全な事後報告書 (ポストモーテム) を待っており、手配が確定し次第、詳細を共有する
「通常のプラットフォームの枠の外で」という書き方からは、配布に VyFi のプラットフォームが関わっていたことがうかがえます。ただし、どの機能を使う予定だったのか、受け取る対象が誰なのか、新しい配布日がいつなのかは、告知には書かれていません。「近く」という言葉以上の日程は、まだ示されていない状態です。
VyFi 側の説明はどこまで出たか
VyFi は 9 月 16 日の最初の公表で、Safe Swaps は DEX のほかの機能とは別のシステムであり、ほかの部分は侵害されていないとしたうえで、何が起きたかを把握した時点で公開の報告書を出すと約束していました。その後 10 月 6 日には、10 月 8 日の X のスペース (音声配信) で「Safe Swaps のインシデントについての報告を説明する」と告知し、当日 10 時 (UTC) にスペースのリンクを投稿しています。
一方、Palm Economy は 10 月 15 日の時点で、VyFi の「完全な」事後報告書を待っていると書いています。音声での説明はあったものの、Palm Economy が配布の手配を確定させる前提として求めている文書の形の報告は、この告知の時点ではまだ届いていないと読めます。流出の規模や原因が文書で示されていない以上、侵害の範囲を公表された言葉以上に広げて語ることはできません。
9 月 16 日の Palm Economy の声明は、PALM の価格の急落について、チームに割り当てたトークンは売っていないと説明し、その割り当ては既存のベスティングのスケジュールに従っているとしていました。今回延期されたのが誰の割り当ての解放なのかは告知からは分かりませんが、「決められたスケジュールで配る」という仕組みそのものが、侵害の後始末を待つ形になっています。
依存の連鎖が見えた一件
今回の件で目を引くのは、侵害が起きた場所が、配布の段取りに関わっていた外部のプラットフォームだったことです。DeFi のプロジェクトは、交換・配布・保管といった機能を互いのサービスに頼って組み立てています。その一つが止まると、それを使っていたプロジェクトの予定まで止まります。
Palm Economy が選んだのは、仕組みに頼らず手作業で配るという回り道でした。手作業は時間がかかる一方で、侵害の原因が分からないまま同じ仕組みを使い続けるよりは安全な選択といえます。Cardano の DeFi では 9 月に Splash と VyFi の事案が続きました。使っているサービスが、どの機能を外部のサービスに頼っているかは、利用者の側からも確かめておきたい点です。
受け取りを待つ人が気をつけたい点
配布が手作業になると、「受け取りの手続き」「請求 (クレーム) のページ」をうたう偽のリンクが出回りやすくなります。Palm Economy の告知は、新しい配布の方法について具体的な手順をまだ示していません。案内が出たときも、送られてきたリンクや DM からではなく、Palm Economy の公式 X やサイトから自分でたどって確かめるのが安全です。
配布日と報告書、二つの告知を待つ
確かめる先は二つです。一つは Palm Economy の公式 X で、手作業による配布の日程と方法が告知されるかどうか。もう一つは VyFi の公式 X とサイトで、9 月 16 日に約束した公開の報告書が文書の形で出るかどうかです。報告書が出れば、どの機能のどの欠陥が突かれたのか、そしてベスティングの配布がなぜ止まらざるを得なかったのかが、初めて具体的に分かります。
ことば
- ベスティング (権利確定) — 割り当てたトークンを一度に渡さず、決めた日程で少しずつ解放する仕組みです。今回は、その予定日の解放が外部のプラットフォームの侵害で止まりました。
- Safe Swaps — VyFi が提供する、利用者どうしが条件を決めてトークンを直接交換するための機能です。9 月 16 日にこの機能で不正な流出が起き、VyFi は調査のため機能を止めました。
- ポストモーテム — 事故やインシデントのあとに、原因・経緯・再発防止策をまとめて公開する報告書です。Palm Economy は配布の手配を確定させる前提として、VyFi のこの報告書を待っています。
一次ソース / 関連リンク
- Palm Economy 公式 X の告知 (10 月 15 日)
https://x.com/palmeconomy/status/2110736240161022273 - VyFi 公式 X の最初の公表 (9 月 16 日)
https://x.com/VyFiOfficial/status/2100032253434941499 - VyFi 公式 X のスペース告知 (10 月 6 日)
https://x.com/VyFiOfficial/status/2107351691909894323 - Palm Economy 公式 X の VyFi への応答 (9 月 16 日)
https://x.com/palmeconomy/status/2100074568366817508
