ArbitrumベースのプラットフォームであるAFX Tradeは、クロスチェーンブリッジを管理するキーが侵害され、約2400万ドルのUSDCが引き出された。本セキュリティインシデントは、プロトコルのオンチェーンコードに確認された欠陥ではなく、運用セキュリティ上の障害を示している。

エクスプロイトの詳細

本件の報道によると、攻撃者はArbitrum上のAFXブリッジから約2400万ドルのUSDCを引き出した。報告されている原因は、プラットフォームのスマートコントラクトコードの欠陥ではなく、ブリッジキーの侵害である。この区別は重要である。キーの侵害とは、攻撃者がブリッジ操作を承認する認証情報を掌握したことを意味し、コントラクトに書き込まれたロジックバグの悪用とは異なる。

ブロックチェーンセキュリティ企業のBlockaidはX上で本件を公に指摘し、流出の進行中に早期の注目を集めた。

https://x.com/blockaid_/status/2080080240265621680

侵害されたブリッジキーがいかに数百万ドル規模の流出につながったか

ブリッジキーは通常、ブリッジされた資産の解放や移動の承認など、クロスチェーン保管に関連する特権操作を管理する。これらのキーがその権限を保持しているため、それを管理する者は誰でも資金の移動を指示できる。

攻撃者がキーを取得した場合、コードの欠陥を一切悪用することなく、ブリッジされた資産を移動または解放する取引に署名できる可能性がある。AFXの事例では、エクスプロイトの初期報道に基づき、コントラクトバグではなくこの種のアクセスに起因するとされている。キーがどのように取得されたかの詳細は入手可能な報道では特定されておらず、調査の進展に伴い初期の事件詳細が変わる可能性がある。

この種の運用セキュリティリスクは、コアプロトコルコードが障害点として特定されていない場合でも存続する。クロスチェーンブリッジはDeFiにおいて最も標的とされる構成要素の一貫して位置づけられており、記録上最大規模の暗号資産エクスプロイトのいくつかは、スマートコントラクトバグではなくブリッジキーの侵害に関連している。資金移動のより詳細な解説は続報で公開されている。

Arbitrumユーザーとブリッジセキュリティへの影響

特権キーアクセスを伴うインシデントは通常、保管設計、署名者の分散、緊急コントロールに関する疑問を引き起こす。AFXユーザーにとっての直接的な懸念は、エクスポージャーの程度と、ブリッジが侵害された後の残存資金の状況である。

影響を受けたユーザーは通常、プロジェクトチームに対して資金の安全性、侵害されたキーがローテーションまたは取り消されたかどうかの確認、補償計画の有無についての指針を求める。これらの点に関する明確なコミュニケーションが、実務的な次のステップとなる。過去のブリッジインシデントでは、資金回復の機会は、チームが資金移動後にどれほど迅速に中央集権型取引所のコンプライアンスチーム、ブロックチェーン分析企業、または法執行機関と連携できたかにかかっていた。

ブリッジセキュリティインシデントはまた、DeFi全体におけるマルチシグ管理、監視、キー管理慣行に対する精査を再び喚起する。こうしたプロトコルのガバナンスと管理の在り方に関する議論は規制の領域にも拡大しており、DeFiの金庫やオンチェーンレンディングが証券法の対象となるタイミングについて当局者が検討を重ねていることは、これらのシステムがいかに保護・監督されているかに対する関心の高まりを浮き彫りにしている。