Stake DAO Suffers Unauthorized Minting Attack — vsdCRV Tokens Minted Without Authorization, Potentially Converted to Approximately $100,000 Worth of ETH

ポイント

• DeFiプロトコル「Stake DAO」が、独自トークン「vsdCRV」の不正発行（不正ミント）インシデントを公式に認知・発表
• 攻撃者はすでに不正発行した一部のvsdCRVを約1,450万円相当のETH（イーサリアム）に換金済みとの報告あり
• vsdCRVはCurve Finance（CRV）エコシステムの流動性ロック機構に連動したトークンであり、DeFi全体への波及リスクがある
• 現時点でStake DAO側は問題を認識・調査中であり、詳細な原因・被害額は未確定

2024年のDeFiセキュリティ事件がまた一件加わった。Stake DAOのvsdCRVトークンが何者かによって不正にミントされ、そのうち一部がすでに市場でETHに売り抜けられたとの報告が浮上している。Stake DAO公式はインシデントを認識したと表明したものの、詳細はいまだ調査段階だ。

vsdCRVとStake DAOの立ち位置

Stake DAOはCurve Financeエコシステムの上に構築されたDeFiプラットフォームで、ユーザーがCRVをロックして得られる投票権・収益をより効率的に扱えるようにする仕組みを提供している。vsdCRVはその中核トークンのひとつで、veCRV（ボートエスクロー型CRV）に対応した「液状化」トークンに近い性質を持つ。

要するに、vsdCRVは「本来ならロックして取り出せないはずのCRV価値」を流動化させるレイヤーだ。このような設計は資本効率を高める一方で、スマートコントラクトの脆弱性が突かれたとき被害が連鎖しやすい構造でもある。

DeFiにおける「不正ミント攻撃」は珍しくない。過去にはBeanstalk（約182億円相当の損失）やPoly Networkなど、複数の大型ハックがミント機能やガバナンス権限の奪取を起点としている。トークンが無限に刷れる状態になれば、攻撃者は即座に流動性プールへ流し込み、正規ユーザーの資産を希薄化させながら換金できる。今回のケースも同様の手口が疑われる。

被害の現時点でのスコープ

確認されている情報は以下の通り：

• vsdCRVトークンが正規プロセスを経ずにミントされた
• ミントされたトークンの一部が、約1,450万円相当のETHにスワップ済み
• Stake DAO公式チームはインシデントを認識し、対応を開始

1,450万円という数字だけ見ると中規模に映るかもしれないが、これは「現時点で換金が確認された分」に過ぎない。不正ミントされたvsdCRVの総量、あるいはプロトコル内にまだ残っている玉がどれだけあるかは現時点では不透明だ。調査が進めば被害額が上方修正される可能性は十分ある。

市場への含意

CRVおよびCurveエコシステム全体への目線

Stake DAOはCurveとの密接な関係上、今回の事件はCRVトークン自体の信用や、Convex Financeなど周辺プロトコルの心理にも影響しうる。Curve系DeFiのポジションを持つトレーダーは、流動性プールのAPRや板の変動を注視しておくべきだろう。

ショートの踏みか、さらなる売り圧か

攻撃者がすでにETHへ換金済みであれば、そのETHが市場でどう動くかも気になるところだ。大規模な即時売却であれば短期的なETH売り圧になりうるが、1,450万円規模であれば相場全体を動かすほどではない。ただしvsdCRV自体は信用毀損により急落する可能性が高い。

DeFiポジション全般のリスク再評価

筆者がより重要だとみているのは、今回の事件が「Curve系プロトコルのスマートコントラクトリスクを改めて市場に意識させる」点だ。Stake DAOのロック残高はそれなりの規模に上るため、流動性を引き揚げる動きが起きれば他のプールにも波及する。

現時点ではStake DAOの公式アナウンスを逐次確認し、ポジションを整理するかどうか各自で判断する局面だ。

まとめ

Stake DAOのvsdCRVで不正ミント事案が発生し、すでに一部が約1,450万円相当のETHへ換金されたとの報告が出ている。プロトコル側は問題を認識・調査中だが、被害の全容はまだ見えない。Curveエコシステム全体に関わるインシデントである点、そしてDeFiにおけるスマートコントラクトリスクの現実を改めて突きつける事例となった。続報を待ちながら、関連ポジションのリスク管理を意識したい。

よくある質問

Q1. vsdCRVとは何か？

vsdCRVはStake DAOが発行するトークンで、CurveのveeCRV（投票権付きロックCRV）の価値を流動化させる仕組みに使われる。通常、CRVをveeCRVとしてロックすると最大4年間引き出せないが、Stake DAOのような「液状化プロトコル」を使うことでその権利を二次流通・運用できるようになる。DeFiにおける資本効率向上の代表的な手法のひとつだ。

Q2. 不正ミント攻撃はどのように行われるのか？

スマートコントラクトのミント関数に権限制御の脆弱性がある場合、攻撃者はその関数を直接呼び出してトークンを無制限に生成できる。生成したトークンは流動性プールに流し込んでペアの資産（今回はETHなど）と交換する形で現金化される。発見が遅れるほど攻撃者の利益が積み上がり、プロトコルの流動性が枯渇していく構造だ。

出典: CoinPost（2026年5月27日報道）