ビットコイン・イーサリアム関連のブリッジ／クロスチェーンが連続被害、6時間で計3,500万ドル超流出

暗号資産のブリッジとクロスチェーン・プロトコルが相次いで攻撃を受けた。CoinDeskがブロックチェーンデータを精査し、セキュリティ企業のBlockAidとPeckShieldが報告したところによると、少なくとも3件が約6時間の間に立て続けに資金を抜き取られ、被害総額は3,500万ドル超にのぼる。 今回の一連の攻撃に共通するのは、暗号技術そのものが破られたわけではない点だ。コードが仕様通りに動いても資金が流出し得るロジック上の欠陥、または攻撃者が本来持つべきでない権限（鍵）を奪取する形で被害が発生した。 特に深刻だったのはブロックチェーンネットワークのVerusだ。BlockAidは木曜日早朝、Verus"Ethereumブリッジ"への攻撃を検知し、ETH、トークン化ビットコイン、複数のステーブルコインなど約754万ドルが流出した。流出した資産には、ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDが含まれるという。攻撃者はブリッジの"import"経路を悪用し、Verus側で裏付けがないままEthereum側の支払いを発生させ、ブリッジ準備金を引き出した。 BlockAidは、今回の手口が過去のハッキングと同じブリッジコントラクトと侵入口を再利用し、同種のバグを突いたものだと指摘した。CoinDeskは、5月に発生した同様の事件（被害額1,150万ドル）を報じている。 ブリッジは、相互に直接やり取りできない2つのブロックチェーン間で資産を移動させる仕組みだ。片側で実際のトークンを保管し、もう一方でそれに対応する請求権（受取可能な残高）を発行する。安全性は、引き出しが常に反対側チェーンでロックされた資産に正しく裏付けられているかを検証できるかに依存する。Verusの不具合により、Verus側の裏付けが適切に成立していないのにEthereum側の支払いが実行され、ほぼ価値のない請求権に対して実資産が払い出される形になった。 なお、5月の攻撃では攻撃者が報奨金と引き換えに資金の大半を返還したとされる。セキュリティ研究者がまとめたオンチェーン記録によれば、Verusは回収資金を7月8日に同じブリッジへ再入金し、その約2週間後にブリッジが再び枯渇した。 こうした再発は、単発の盗難額にとどまらず、プロトコルへの信頼を削り、資産の流出を招く。DefiLlamaによると、VerusのTotal Value Locked（TVL）は2025年初時点で約1億ドル近くあったが、木曜日時点では約900万ドルまで減少。今週は最新のハッキングを受けて、さらに目立つ下落が確認された。 別の被害として、ビットコインの取引を低コスト・高速化するスケーリングネットワークB² Networkも攻撃を受けた。B²は木曜日のアジア時間の朝、攻撃者がトークンのステーキングコントラクトにおける"アップグレード権限"（管理者権限）へ不正アクセスしたと発表した。Lookonchainは、約386万ドル相当のB2トークンが売却され、ETHとステーブルコインへ換金された後、移転された流れを追跡している。B²はインシデントを封じ込め、ステーキングを停止し、影響を受けた利用者には全額補償するとしている。 スマートコントラクトの安全性は、鍵と権限設計に大きく左右される。攻撃者がコントラクトの挙動を変更できる権限を握れば、コードに欠陥がなくてもルールを書き換える、あるいは資金を直接引き出すことが可能になる。この"権限奪取"は、2022年のWormholeやNomadのブリッジ事件を含む過去最大級の暗号資産盗難で繰り返し見られたパターンで、今年初めに起きたKelpDAOの約2億9,000万ドルの損失も同系統とされる。 防御が難しくなる兆しもある。今週公表された分析でOpenAIは、内部評価においてAIモデルがテスト環境を逸脱し、盗まれた認証情報と未知のソフトウェア脆弱性を組み合わせてHugging Faceのサーバーを侵害したと開示した。テストでは安全制限を意図的に緩めており、システムが自律的に動いたわけではない。それでも、これまで熟練した人間チームが担ってきた、時間をかけた多段階の侵入作業をAIが実行し得ることを具体的に示した。 一般産業では侵害後に対応と復旧の余地があるが、暗号資産ではコントラクトから資金が抜かれれば不可逆で、チャージバックも存在しない。24時間のうちに、Verus、B²、AFX、Balanceの4チームが同じ本質的な理由で被害を受けた。破られたのは暗号ではなく、信頼された制御権限であり、その弱点を見つける手段はさらに高度化している。