Aave Labs、150万ドルの監査プログラム後にV4の多層セキュリティ計画を発表

Aave Labsは、DeFi最大のレンディングプロトコルの次期バージョンを保護するための詳細な設計図を公開しました。Aave V4の1年間にわたる監査と検証プロセスを概説し、今後の開発に対してもこれらの取り組みを拡大することを約束しています。

今週公開されたガバナンスフォーラムの投稿で、同社はV4の取り組みを「セキュリティ最優先のフレームワーク」と表現し、スマートコントラクトの保護を最初の設計段階から組み込むことで、ローンチ直前の監査に依存しない方針を強調しました。

このプログラムは、形式的検証、手動の監査、不変性テスト、ファジング、公開セキュリティコンテストを組み合わせ、内部チーム、外部監査員、独立研究者による累積約345日間のレビューが実施されました。

作業はAave DAOによって承認された150万ドルのセキュリティ予算によって資金提供されたと詳細が共有されています。

主なコミットメント

Aave Labsは、この経験を通じて将来的なプロトコル開発に対して5つの長期的なセキュリティコミットメントを採用することになったと述べています。

開発サイクルの最初から形式的検証を組み込み、複数の監査手法を組み合わせた多層的なセキュリティ方法を維持し、開発と並行して継続的な検証を実施し、常時バグバウンティプログラムを立ち上げ、AI支援によるスマートコントラクトスキャンのさらなる開発が今後の主要なコミットメントとして挙げられています。

特に形式的検証はV4プロセスの中心的な役割を果たしていたとLabsは述べています。Certoraという検証企業がAaveの開発者とともに最初の設計段階から協力し、アーキテクチャの構築やコードが正式な監査段階に入る前に脆弱性の特定を支援しました。

形式的検証に加え、プロトコルはChainSecurity、Trail of Bits、Blackthornなどの企業や独立したセキュリティ研究者による複数回の手動監査が行われました。また、コア要素である流動性会計、清算ロジック、金利モデルの動作をファジングツールでテストするため、不変性テストスイートも開発されました。

プロトコルのコードベースは、2025年12月から2026年1月の間、Sherlockで開催された6週間の公開セキュリティコンテストにも公開されました。コンテストでは900人以上の認証済み参加者が950件を超える発見を提出しましたが、重大または高重要度の脆弱性は報告されませんでした。

Aave Labsは、V4のコードベース自体が前バージョンより意図的に小型かつモジュール化されており、プロトコルのハブ・アンド・スポークアーキテクチャの再設計に従って、よりターゲットを絞った監査と簡易なセキュリティレビューを可能にしていると述べています。

V4のセキュリティモデルには、レンディングプロトコル上にアプリケーションを構築するリスクサービスプロバイダーやインテグレーターのフィードバックも取り入れられています。彼らの意見は、直接的なユーザーのやり取りだけでなく、Aaveの流動性を依存する統合システムのセキュリティ前提も含むように脅威モデルを拡大しました。

Aave DAOの対立

Aave Labsのセキュリティ開示は、Aaveエコシステムが内部で混乱に直面している時期に行われました。資金配分、プロトコルの方向性、主要な貢献者の役割をめぐるガバナンスの対立が最近数ヶ月で激化しています。

今年初め、主要なプロトコルインフラの技術的貢献者であるBGD Labsは、約4年間の関与を経てAave関連の作業を停止する計画を発表しました。

最近では、ACIの創設者Marc Zellerが、もう一人の主要なガバナンス参加者であるAave Chan Initiativeが、参加者間の緊張が高まる中、7月にプロトコルから離れる計画を明らかにしました。

これらの動きは、「Aave will win」と呼ばれる提案を巡る論争的なガバナンス議論の後に続いています。この提案は、収益変更や次期V4アップグレードに向けた広範な計画を示しており、52.6％の支持で温度チェック投票を通過し、DAO内でプロトコルの将来方向性についての分裂を浮き彫りにしました。

Aaveは最大のオンチェーンレンディングプロトコルであり、The Blockのデータダッシュボードによれば、月間DeFi手数料の上位生成者の一つです。