なぜPaxosは300兆PYUSDを誤発行し、わずか22分で全量バーンしたのか

1. 1回のトランザクション、300兆トークン

2025年10月15日19時12分23秒（UTC）、イーサリアムのブロック23585095で、Paxosの運用アドレスからPayPal USD契約へのトランザクションが記録された。increaseSupply関数の実行により、正確に300,000,000,000,000 PYUSDが発行され、Paxos自身の管理アドレスに付与された。オンチェーンの総供給量は1,331,672,434.44から300,001,331,672,434.44へ急増した。^[2][4]

この数値は供給量と実際の資産を分けて読む必要がある。PYUSDは小数点以下6桁のERC-20台帳であり、発行はコントラクトが報告する供給量を変えるが、ドルの移動や準備金の創出ではない。Paxos自身のアドレスに現れた300兆は、300兆ドルの現金や裏付けではなく帳簿上の数字だった。記録供給量、流通量、準備金で裏付けられた供給量は別物だ。^[7][4]

発行に要したのは66,722ガス、10 gweiで0.000667 ETHだった。Wharton Financeの技術分析は、意図された3億PYUSDと実際の300兆が100万倍違い、6桁の小数変換が二重適用された可能性を示した。ただしPaxosの非公開フロントエンドは検証できないと明記した。Halbornも意図額を3億PYUSDと報告した。^[2][7][6]

ブロックエクスプローラーで異常が検知されると、入力ミスかハッキングかを巡る議論が起きた。オンチェーンの証拠はミスを示していた。発行された300兆トークンはすべてPaxosのアドレスに留まり、外部ウォレットや取引所、DeFiプロトコルへは1トークンも移動しなかった。膨らんだのは帳簿上の数値だけで、資金の流出は一切存在しなかった。^[7][2]

2. 22分間のドラマ：元帳を復元したバーン

同日19時34分35秒（UTC）、ブロック23585206で、同じPaxosの秘密鍵がdecreaseSupplyを呼び出し、300,000,000,000,000 PYUSDを全量バーンした。コントラクトはこれをゼロアドレス（0x0）への送金として記録し、総供給量は111ブロック前と同一の1,331,672,434.44 PYUSDへ復元された。発行からバーンまでは22分12秒だった。^[3]

オンチェーン記録は、この過剰分が外部にいかなる影響も及ぼさなかったことを裏付けている。バーン直前のPaxosアドレス残高は、事前の正常残高104,631,741.62に誤発行分300兆を加えた300,000,104,631,741.62 PYUSDだった。300兆トークンのいかなる部分も一般ウォレットや市場に渡ることはなかった。Paxosの声明通り、この過剰分に対応する準備金は存在しなかった。^[3][2]

東部標準時午後3時12分、Paxosは内部送金の一環として過剰なPYUSDを誤って発行しました。Paxosは直ちに誤りを特定し、過剰なPYUSDをバーンしました。^[1]

— Paxos、X公式声明（2025年10月15日）

これは内部の技術的エラーです。セキュリティ侵害はありません。顧客資金は安全です。^[1][3]

— Paxos、X上の追加声明（2025年10月15日）

3. 信頼のアーキテクチャ：発行の鍵を握るのは誰か

今回の事象はスマートコントラクトの脆弱性を突いた攻撃ではなかった。監査済みのPYUSDコントラクトは設計通りに動作し、その設計自体がトークンの発行・バーン権限を発行元に集中させていた。公式リポジトリには、PYUSDを米ドルで裏付けるPaxosにより中央集権的に発行・バーンされるERC-20トークンであると明記されている。問題はコードの欠陥ではなく、上位の運用プロセスの失敗だった。^[5]

供給量の管理はSupplyControl契約を介して行われ、SUPPLY_CONTROLLER_ROLEを持つアドレスのみが発行とバーンを実行できる。仕様上はレート制限を設定可能とされていたが、事故当日は単一の運用鍵が1回で300兆トークンを発行でき、実質的な歯止めは機能していなかった。さらに同一鍵が直ちに全額をバーンした事実は、作成と消去の権限が同一アカウントに完全に集中していたことを実証している。^[5][2][3]

セキュリティ企業Halbornは、PYUSDの供給量が無制限の発行権限を持つ単一のEOAによって管理され、マルチシグや準備金連動の制御機構が存在しなかったと評価した。Paxosの文書によると、管理者は全送金を一時停止できるが、停止中も供給量管理者は発行・バーンを継続できる。さらに資産保護役割（ASSET_PROTECTION_ROLE）は特定アドレスの残高を凍結または消去できる権限を持つ。^[6][5]

PaxosはPYUSDを完全準備金型のステーブルコインとして販売し、月次で証明レポートを開示している。しかし誤発行された300兆トークンは、その証明システムの枠外に存在した。実際の資産移動なく発行者の電子的権限のみによって生じ、同日中に消滅した。この300兆は裏付け資産の反映ではなく、発行権限がもたらした帳簿上の産物に過ぎなかったという解釈がオンチェーン記録から導かれる。^[8][3]

4. 波紋：内部統制を試した300兆

確認できる余波は評判と予防措置に集中した。Halbornによれば、Aaveなどは状況が落ち着くまでPYUSD取引を停止した。超過分が市場に届かなかったとしても、意図の100万倍の数量がなぜ管理者の本番発行経路を通過したのかという運用上の問いは残る。^[6][7]

「マルチシグウォレットや組み込み制御がなければ、適切な準備金その他の統制なしに新規トークンを発行できた。」^[6]

— Halborn、事後セキュリティ分析

Wharton Financeは、コントラクト上の単発・時間枠上限、大口発行時の複数署名、準備金を超える要求への警告を対策として挙げた。Paxosのリポジトリも供給管理者のレート制限を任意としている。問われるのは制御を想像できるかではなく、管理者のミスを確定前に止める必須かつ独立した仕組みかどうかだ。^[7][6]

「なぜこのアドレスに発行権限があるのか。明らかにPaxosのホットウォレットだ。」^[7]

— Brett Hemenway Falk、Wharton Finance

Paxosが速やかに訂正できたのは、超過分がすべて発行者自身のアドレスに残ったためだ。外部へ移動していた場合の結果をこの事件だけで断定はできない。それでも単一の運用権限が供給量を300兆増やし、戻せた事実は残る。台帳は22分後、正確に1,331,672,434.44 PYUSDへ復元された。^[2][3]