暗号資産ブリッジが7時間で相次ぎ侵害、被害総額は3,160万ドルに

暗号資産市場ではクロスチェーン（ブリッジ）を巡るセキュリティ問題が改めて浮き彫りとなった。オンチェーン分析企業Blockaidは、数時間差で発生したブリッジ関連の攻撃により、合計で3,160万ドル超が不正流出したと報告。分散型パーペチュアル取引所AFXが利用するブリッジ基盤と、Verus Ethereum Bridgeが被害を受けたという。 Blockaidによると、AFX側では水曜日に2,415万ドルが流出し、その後にVerus Ethereum Bridgeを狙った攻撃で約750万ドルがブリッジ準備金から引き出された。今回の連続事案は、単一チェーンのコア機能に起因しないケースでも、ブリッジ運営者や統合するプロトコルが攻撃に晒され得ることを示している。 要点 ・Blockaidは、Arbitrum上のAFX運営ブリッジから2,415万ドル、Verus Ethereum Bridgeから約750万ドルが数時間内に流出したと報告。 ・Offchain Labs共同創業者Stephen Goldfederは、Arbitrumのネイティブブリッジ自体は侵害されておらず、第三者プロトコルに起因する取引が拡散されたと説明。 ・セキュリティ研究者は、AFXの件はスマートコントラクトのロジック欠陥よりも鍵情報の侵害（compromised keys）の可能性が高いとの見方を示した。 ・Verusの攻撃は、5月に起きた事案と手口が似ている一方、攻撃者ウォレットは別とされる。 ・ブリッジは大量の資産を保管し、複数エコシステム間で価値を移転するため、高額被害につながりやすい標的となる。 Arbitrum上のAFXブリッジ侵害：何が狙われたか Blockaidは、UTC午後9時30分にArbitrum上で稼働する分散型パーペチュアル取引所AFXが運営するブリッジを標的とした攻撃を検知したと説明。調査では、Arbitrumの中核となるブリッジ基盤の侵害ではなく、第三者統合（サードパーティ連携）に絡むブリッジの侵害として位置付けられている。 Offchain Labs共同創業者のStephen Goldfederは、オンライン上で出回った"ブリッジがハックされた"との情報について、第三者プロトコルを起点とする取引に関するものであり、Arbitrumのネイティブブリッジそのものは攻撃を受けていないと強調。該当取引は別プロトコルから発生したもので、Arbitrumのネイティブブリッジは"いかなる形でもハックや悪用を受けていない"と述べた。 さらに、DeFiセキュリティコミュニティDeFiHackLabsの創設者で、SEALにも関与するSunSecは、証拠からはスマートコントラクトのロジック上の脆弱性よりも鍵情報の侵害を示唆する材料が多いとの見方を示した。鍵の侵害であれば、緊急の認証情報ローテーションやアクセス権限の再点検が必要になる。ブリッジ契約自体が常に最弱点とは限らない点も示唆される。 CointelegraphはAFXにコメントを求めたが、現時点の追加情報はBlockaidおよび関連調査者の観測内容に基づく。 Verus Ethereum Bridgeへの攻撃：5月事案に似た手口 別の事案として、BlockaidはVerus Ethereum Bridgeを標的にした攻撃で、ブリッジ準備金に保管されていた複数資産から約750万ドルが流出したと報告した。対象トークンにはEther（ETH）、tBTC、USDC、USDt、EURC、MKR、scrvUSDが含まれるという。 Blockaidによれば、今回の手口は5月に報告されたVerus Ethereum Bridgeの攻撃（被害額1,158万ドル）と似ている。ただし、同様のアプローチが使われた一方で、攻撃者ウォレットは異なるとされる。 Blockaidは、攻撃者がブリッジの"import path"を悪用し、"裏付けのないEthereum側の払い出し（unbacked Ethereum-side payouts）"を発生させたと説明する。要するに、システム片側で対応する裏付けがないまま、反対側で資産が放出される状態を誘発できる可能性を示し、準備金が直接削られるルートになり得る。利用者や統合するプロトコルにとっては、脆弱性を修正しても、インポートや払い出しの運用設計・前提が十分に見直されない限り、同種の悪用が繰り返され得る点がリスクとして残る。 ブリッジ障害が繰り返される背景 ブリッジ攻撃を根絶しにくい理由として、クロスチェーン基盤が複数要素の組み合わせで成り立つ点が挙げられる。資産のカストディ、メッセージ伝達やimport/exportの仕組み、決済フローを発火させる権限管理などが絡み合う。攻撃者がこれらの継ぎ目を突けば、鍵情報の侵害、不適切な認可、クロスチェーン状態検証の弱点といった形で、短時間での資金流出につながりやすい。 オンチェーン調査者TheCrypticWolfはXへの投稿で、セキュリティが強化されるまでブリッジは"弱い環"であり続けると主張した。個別事案に直結する新証拠ではないものの、同日に2件の攻撃が報告されたことは、巨額の準備金が標的価値を高め、複雑さが全面的な堅牢化を難しくしている現状を裏付ける。 今回の2件には性質の違いもある。AFXのケースは、Goldfederの説明を踏まえるとArbitrumのネイティブブリッジではなく、第三者連携や当該プロトコル側のブリッジ管理に起因する可能性が示唆される。一方、Verusについてはimportメカニズムが"裏付けのない払い出し"につながったとされ、決済ロジックや状態の前提により直接関わる問題の可能性がある。 今後の注目点 ブリッジ関連のインシデントでは、緊急停止（pause）、監視強化、カストディや認可フローの変更といった対応が取られるのが一般的だ。AFXおよびVerus側からの追加開示、Blockaidなどの調査による原因特定（鍵の侵害、認可不備、import/export決済の再現性ある弱点など）に市場は注視する必要がある。 より広い観点では、クロスチェーンのリスクはブリッジ運営者だけに閉じない。流動性や決済をブリッジに依存する分散型アプリやトレーダーにとって、ブリッジの安全性は一度確認して終わりの項目ではなく、継続的に変化するリスクとして扱う必要がある。 本記事はCrypto Breaking News掲載の"Hackers Drain $31.6M After Two Crypto Bridge Breaches in 7 Hours"をもとに再構成した。