7月22日、Ethereumネットワークに接続する二つのブリッジプロトコルが相次いで攻撃を受け、合計で約3,170万ドル相当の資産が流出した。
AFXとVerusのブリッジ被害に続き、B² Networkでもステーキングコントラクトの管理者権限が不正に利用される事態が発生し、緊急対応としてステーキング機能が停止された。
今回の一連の事件は、基盤となるブロックチェーンの合意形成とは別の、各プロトコルが独自に管理するシステム部分に脆弱性が集中していることを浮き彫りにした。個別の事例から共通の教訓を読み解いていく。
AFXブリッジ、ソーシャルエンジニアリングで2,415万USDCが流出
最初の被害が確認されたのは、分散型取引プロトコルAFXが運営するブリッジだ。セキュリティ企業Blockaidの検知によると、攻撃はUTC標準時で7月22日21時30分頃に発生。Arbitrumネットワーク上で実行された1件のトランザクションによって、2,415万USDCがブリッジから流出した。
開発環境から本番システムへ、人的な隙を突いた攻撃
AFXが7月24日に公開した暫定的な調査結果によれば、今回の攻撃は高度に組織化されたソーシャルエンジニアリングとインフラへの侵害が組み合わされたものだった。
ソーシャルエンジニアリングとは、技術的な穴ではなく、人間の心理的な隙やミスを突いて秘密情報を入手する手口のことだ。たとえば、正規の管理者やサポート担当者を装った巧妙な連絡で認証情報を聞き出すような手法が典型的である。
AFXの発表によれば、権限のないアクセスはまず開発環境で発生し、その後、内部のビルドインフラ、そしてトランザクションの正当性を検証するバリデータのシステムへと段階的にエスカレーションしていったという。つまり、攻撃者はテスト用の環境から企業内部のネットワークを経由し、最終的に巨額の資金を動かせる本番システムの鍵を奪取したことになる。
被害の実態とプロトコルの対応状況
AFXは事件発生後、ただちに問題となったサードパーティ製のUSDCカストディブリッジを停止。このブリッジはArbitrumのネイティブブリッジとは別物であり、AFXの取引基盤やメインネット全体への影響は隔離されていると発表した。
現在の状況についてAFXは、残高の照合作業を進めるとともに、流出した資金の回収と被害者への補償計画の準備を進めている段階だと説明している。ただ、7月24日の時点では、資金の返還が完了したという報告や、具体的な補償計画の最終決定はまだ公表されていない。
Verusブリッジ、準備金の検証不足で754万ドルが不正流出
AFXの事件から数時間後、今度はVerus-Ethereumブリッジで不正な出金が行われた。Ethereumネットワーク上に記録されたトランザクションにより、1,137.4528ETHに加え、7種類のトークンが送金されていた。Blockaidの試算で、これらの担保のない支払い額は約754万ドルに達すると評価されている。
「担保の確認なき出金」、クロスチェーン検証の機能不全
この事件で最も問題視されているのは、なぜ担保となる裏付け資産があると証明されていないにも関わらず、8件もの出金が承認されてしまったかという点だ。
ブロックチェーンセキュリティ企業SlowMist（スローミスト）の分析によると、根本的な原因はクロスチェーンインポート検証と呼ばれる処理の欠陥にあるという。これは、別のチェーンから送られてきたという証拠データを、受け入れ側のブリッジが正しく確認しなかったために起きた破綻だ。
簡単にたとえるなら、銀行の支店間取引で「ここに預かっている」という連絡票だけを本店が信用し、実際に金庫に現金があるかどうかの確認を怠ったような状況といえる。SlowMistは、この不備の根底にある問題の分類は、今年5月に発生した別の類似攻撃と共通していると指摘している。しかし、攻撃の具体的なメカニズム自体は前回とは異なっていたこともあわせて明らかにした。
B² Network、管理者権限への不正アクセスでステーキングを緊急停止
同日、B² Networkでもセキュリティ上の異変が発覚し、緊急の対応が行われた。ただし、今回の事案はAFXやVerusのような「ブリッジへの直接的な攻撃」とは性格が異なる。
B² Networkの発表によれば、問題が発生したのはステーキングコントラクトのアップグレード権限だ。コントラクトを書き換えることができる特別な鍵が、何者かによって不正に操作されたのである。これを受けてB² Networkは、セキュリティレビューが完了するまでの間、通常のステーキング機能を全面的に停止すると発表した。
ステーキングとは、暗号資産をネットワークに預け入れることで報酬を得る仕組みを指す。銀行預金でいえば定期預金のようなもので、預けた資産が報酬を生む一方、基本的には引き出しに一定の制限がかかる。B² Networkがこの機能を止めたことで、新規の預け入れや通常の引き出しができなくなっている状況だ。
ユーザーに提示された「手動での出口」
ただ、B² Networkはユーザー資産を閉じ込めるわけではなく、緊急避難ルートも用意している。公式Discordを通じて所有権を証明できるユーザーに対しては、手動でのアンステーキング（預け入れた資産の引き出し）申請を受け付けており、このリクエストは1営業日以内に処理するとしている。
また、B² Networkは今回の問題は封じ込めに成功しており、影響を受けたユーザーには全額を補償する方針を表明した。しかし、7月24日時点で具体的な損失額は明らかにされておらず、補償が完了したという続報もまだ公表されていない。このため、冒頭の3,170万ドルという損失総額の計算には、B² Networkの分は含まれていない。
3つの事例が示す、共通する「管理レイヤー」の落とし穴
これら3つの出来事は、表面上は無関係な偶発的事象に見えるかもしれない。しかし、いずれもブロックチェーンの根幹をなす「ベースチェーンの合意形成」ではなく、その外側にあるプロトコル固有の管理システムから問題が発生している点で共通している。この構造的な類似性こそが、今回の最も重要な論点だ。
AFXでは、それはカストディとバリデータのためのインフラ管理権限であり、Verusではブリッジの会計検証ロジック、そしてB² Networkではステーキングコントラクトのアップグレード権限だった。いわば、堅牢な金庫に守られた貴金属を、その「鍵」を管理する人のミスやシステムの設定不備で盗まれてしまったようなものである。
分散型の技術が進歩すればするほど、皮肉なことに、こうした集中管理的な「コントロールゲート（管理のチェックポイント）」がボトルネックになりつつある。攻撃者から見れば、数千万人が監視する分散台帳を直接改ざんするより、数人しか管理していない特権キーを狙うほうがはるかに現実的なのだ。
ユーザーとプロジェクトが直面する次のテスト
これらのプロトコルにとって、そしてユーザーにとっても、本当の試練はこれからだ。特に注目すべきは以下の3点である。
- 各プロジェクトが約束した補償計画が、実際に全額返還の形で実行されるのか
- クロスチェーン通信において、裏付けとなる資産の存在を技術的にどう検証する仕組みを再構築するのか
- 緊急時に人間による手動の介在に頼ることなく、管理者権限を保護しつつ、ユーザーが資産を安全に退避させる道をどう確保するのか
この記事のポイント
- 7月22日、AFXとVerusのEthereumブリッジが相次いで攻撃を受け、約3,170万ドルが流出した
- AFXは巧妙なソーシャルエンジニアリングにより、開発環境からバリデータシステムへと段階的に侵入された
- Verusでは準備金の検証不足が原因で、担保のない8件の大規模出金が承認された
- B² Networkもステーキングコントラクトの管理者権限への不正アクセスを受け、全ユーザーのステーキングを一時停止した
- これらはすべて、ブロックチェーン外の集中管理レイヤーが破綻した事例であり、管理権限の分散化や厳格な検証フローが急務であることを示している
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。