2026年7月22日、AFXが運用するクロスチェーンブリッジを標的としたエクスプロイトにより、2415万USDCが失われた。この侵害は、分散型永続契約取引のための主権Layer 1ネットワークであり、サードパーティのブリッジを通じてArbitrumを入金のエントリーポイントとして使用するAFXのインフラに影響を及ぼしたものであり、引き続き通常通り稼働しているArbitrumのネイティブブリッジには影響していない。

ブロックチェーンセキュリティ企業のBlockaidは、2026年7月22日UTC 21:30に、@arbitrum上のプロトコルである@AFX_XYZを標的としたエクスプロイトを検出した。Arbiscanのログは、24,150,000 USDCがブリッジコントラクトから攻撃者が管理するアドレスに移転されたことを示した。

Blockaidは、同社のチームがArbitrumおよびAFXと協力して状況を評価していると述べた。報道時点で、資産の回復は発生しておらず、AFXはエクスプロイトの原因に関する声明を発表していなかった。

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

調査が進行中

Offchain Labsの共同創設者であるSteven Goldfederは、不審な取引はArbitrumのネイティブブリッジではなく、サードパーティのプロトコルから発生したことを明らかにした。同氏は、チームがAFXと協力して調査を行っており、進展に伴ってさらなる詳細が明らかになると確認した。

ブロックチェーンセキュリティ企業PeckShieldによると、攻撃者は盗難USDCをArbitrumからEthereumに移した後、その収益を12,467.5 ETHに変換した。オンチェーン分析アカウントのLookonchainは、ETHが平均価格約$1,937/ETHで取得されたと報告した。発行者がスマートコントラクトレベルで残高を凍結できるステーブルコインから、ETHのようなネイティブ暗号資産に収益を変換することで、攻撃者は中央集権的な凍結の可能性を減らし、追跡をより困難にした。

クロスチェーンブリッジのセキュリティが再び注目される

AFXのエクスプロイトは、分散型金融におけるクロスチェーンブリッジに関連する一連のセキュリティインシデントに続いて発生した。ブリッジは、あるチェーンで大量のロックされた資産を保管し、別のチェーンで対応する表現を発行するため、歴史的にDeFiで最も頻繁にエクスプロイトされるコンポーネントの一つであり、侵害されると直ちに多額の資金へのアクセスが可能となる集中的な標的を形成してきた。今年前半には、Stake DAOがArbitrum上での不正な鋳造を受けvsdCRVブリッジを閉鎖せざるを得なかった。また別件で、Kelp DAOのLayerZeroブリッジは約116,500 rsETH（約$292 million相当）を失った。

この攻撃は、ブロックチェーンネットワークとその上に構築されたサードパーティアプリケーションとの運用上の区別を浮き彫りにした。今回のケースでは、損失はArbitrumネットワーク自体ではなく、AFXのブリッジインフラに限定されている。それにもかかわらず、このインシデントはクロスチェーンのセキュリティプロトコル、ブリッジの認可メカニズム、および分散型ブリッジシステムを管理する運用手順に関する継続的な疑問を提起している。