Arbitrum上のAFX Trade、ブリッジの署名鍵流出で約2,415万USDC流出

ドル連動型ステーブルコインのUSDCで決済する分散型パーペチュアル取引所「AFX Trade」が、7月22日（水）に約2,415万ドル相当（24,150,000 USDC）を失った。オンチェーンデータによると、攻撃者がArbitrum上でAFXが運用するブリッジのバリデーター署名鍵を侵害し、不正な出金を成立させた。 Arbitrumを開発・運営するOffchain Labsの共同創業者スティーブン・ゴールドフェダー氏は、Arbitrumのネイティブブリッジは「いかなる形でもハックや悪用を受けていない」と説明。問題のトランザクションは第三者プロトコルに起因するとした。仮にArbitrum自体のブリッジが破られていればL2全体に波及するリスクとなるが、今回は上で動く個別プロトコル側の障害で、被害は限定的だという。ブリッジのコードロジック自体に破壊的な不具合は確認されていない。 ブリッジは異なるネットワーク間でトークンを移転する仕組みで、セキュリティ企業Blockaidは「オンチェーンロジックの回避は起きていない」と指摘。代わりに、出金を承認するホットバリデーター署名5件が攻撃者側の送金に同意し、ブリッジが求める約3分の2のクオーラムを満たした結果、24,150,000 USDCの移動が承認された。 Blockaidは「2026-07-22 21:30（UTC）に@arbitrum上の@AFX_XYZを標的とするエクスプロイトを検知した。AFXが運用するブリッジ固有の事象で、現時点で約2,415万USDCが流出した」と報告している。コントラクトは当該出金を正当とみなし、200秒のディスピュート期間後に資金を解放した。設計通りの挙動だった一方、承認鍵が不正に掌握されていた可能性が高い。 攻撃者は流出したUSDCをEthereumへブリッジし、約12,467 ETH（約2,400万ドル相当）にスワップ。オンチェーントラッカーによれば、現在は単一ウォレットに集約されている。 DefiLlamaによると、攻撃前にAFXの取引は急増し、7月中旬には日次のパーペチュアル出来高が数カ月ぶりの高水準に達していた。ユーザー流入に伴い預かり資産も積み上がる中、今回流出した約2,400万ドルはプロトコルのTVL（総預かり資産）のほぼ全額に相当し、資金が最も膨らんだタイミングに近い局面で金庫が空にされた格好だ。 暗号資産のセキュリティ被害が相次ぐ中での出来事でもある。第2四半期は過去最悪級のハッキング被害が記録された四半期の一つとされ、Arbitrum基盤のプロトコルでも攻撃が連続。1週間前にはRWAプラットフォームOstiumがオラクル悪用で別途1,800万ドルを失っていた。今回の事案は、コントラクトを直接破るのではなく特権アクセスを得るまで時間をかけた点で、4月に約2億8,500万ドルの損失を出したDrift Protocolの事例と同型の失敗と位置づけられる。