Voloプロトコル、Suiボールト不正で350万ドル流出

Sui基盤のリキッドステーキングプラットフォーム「Volo Protocol」は水曜日、攻撃者によって3つのボールトから約350万ドルが流出したと発表した。すでに9桁規模の流出が連続する今月のDeFi業界における最新のセキュリティ侵害となった。

Voloは、攻撃を検知後、すべてのボールトを凍結し、Sui財団に報告した。盗難被害に遭った資産にはWrapped Bitcoin（WBTC）、ゴールド担保型XAUm、USD Coin（USDC）が含まれる。チームは、その他のボールトにロックされている残りの2800万ドルには、共通の攻撃経路がないと説明した。

Volo Protocol流出の内幕

Voloは水曜日早朝、X上の声明で、この流出事件をセキュリティインシデントと位置付けた。影響を受けたのは3つのボールトのみで、ほかの部分に同じ脆弱性はないと説明した。

プロジェクトは現在、オンチェーン調査員やエコシステムパートナーと協力し、盗難資金の追跡と回収に取り組んでいる。内部調査が完了次第、完全な検証レポートを公開する予定。

Voloは当初、SUIに特化したリキッドステーキングプラットフォームとして立ち上げられ、Volo Staked SUI（vSUI）トークンを発行していたが、2024年初頭にSuiのレンディングプロトコルNAVIに買収された。今回攻撃の対象となったボールト商品は、このステーキング層の上に構築され、ラップド資産やステーブルコインを担保として利回り戦略に活用する形となっていた。

Voloはまた、利用者に損失が転嫁されることはないと強調した。

プロトコルは、損害制御対応が終わり次第、回復策を策定するとし、ユーザーの信頼回復は約束よりも行動が重要であると付け加えた。

DeFiにとって厳しい一ヶ月間、相次ぐ攻撃

Voloの流出は、4月に発生した一連の大型事件が分散型金融分野を襲った流れの中で起きた。ソラナ基盤のDrift Protocolは4月1日に約2億8500万ドルを失い、Ellipticはこれを北朝鮮による侵入作戦の疑いがあると分析した。

その3週間足らず後に、リステーキングプロトコルのKelp DAOが、LayerZeroブリッジの侵害により11万6500リステークドイーサ（rsETH）＝約2億9200万ドルを流出させた。これ以降、イーサリアムDeFiでは、総ロックバリューが17％以上減少した。

Balancerも年初に1億2800万ドル超を流出させている。また、標的となった1つのウォレットが引き出し被害を受け、イーサリアムやArbitrumで計2億8000万ドル超を個人投資家が失った。

Suiエコシステムも同様の危機を以前から経験してきた。2025年5月にはCetus取引所にて約2億2300万ドル分が流出した。集中型流動性プールの欠陥が攻撃を許したが、Suiバリデータとコミュニティが大半の資金を回収した。2025年末時点でSuiの総ロックバリューは26億ドルを突破。この成長が攻撃対象面を広げている。攻撃者はボールトロジックやオラクル依存性への侵入を強化している。

Voloは、今回の損失約350万ドルを外部支援なく補填すると表明している。預金者は出金再開時の対応を注視する。検証レポートでは原因の特定が期待される。欠陥が限定的か、システム全体に及ぶかが明らかになる見通し。結論次第では、Sui DeFiエコシステムへの信頼にも影響が及ぶ可能性がある。