USDCで決済するArbitrum上の分散型永久先物取引所AFX Tradeは水曜日、プロトコル自身が運営するUSDCカストディブリッジを標的にした攻撃により$24.15 millionを流出させた。セキュリティ企業Blockaidが明らかにした。

同取引所はこの事案を確認し、正確な攻撃経路は引き続き調査中だと述べた。オンチェーン分析企業PeckShieldによると、攻撃者は盗まれたUSDCをEthereumへブリッジし、12,468 ETHに交換した。資金は現在、単一のウォレットに保管されている。この取引はArbiscanで確認できる。

クロスチェーンブリッジは、ネットワーク間の送金を可能にするため、カストディまたはスマートコントラクトの管理下で大量の資産を集約することから、分散型金融で最も標的にされやすい構成要素の一つであり続けている。主要なブリッジ攻撃には、2022年のRonin Networkでの$625 million流出や、同年のWormholeでの$326 million攻撃が含まれる。

AFXはXで公式声明を発表した。

AFX is aware of an incident involving the AFX-operated USDC custody bridge on Arbitrum. Upon detecting the incident, we immediately suspended bridge operations and initiated our incident response procedures. Our engineering and security teams are actively investigating the root…

— AFX Trade (@AFX_XYZ) July 23, 2026

Arbitrum共同創業者のSteven Goldfeder氏は、この事案とレイヤー2ネットワークを切り離す姿勢を早期に示し、Arbitrumのネイティブブリッジは「いかなる形でもハッキングまたは悪用されていない」と述べ、当該取引は第三者プロトコルに由来すると説明した。Arbitrum自身のブリッジが侵害されれば、レイヤー2エコシステム全体に広範な影響が及ぶ一方、その上に構築されたアプリケーションの侵害は限定的な障害にとどまる。

AFXもこの見方に同調し、被害は「AFXが運営するカストディブリッジに限定されている」と述べた。同取引所は、取引インフラとメインネット、またArbitrumネットワーク自体はいずれも侵害されていないと説明した。同社はさらに、盗まれた資産を追跡するため、エコシステムのパートナーやセキュリティ企業と協力していると付け加えた。

数時間後、AFXの成長責任者であるKen C氏は、攻撃者に対し公に取引を提案した。盗まれた資金の70%を返還し、残りの30%を「ホワイトハット報奨金」として保持するという内容だ。こうした呼びかけは暗号資産の攻撃事案で繰り返し用いられる戦術となっている。その一因は、盗まれた資産がETHに変換され、自己管理型ウォレットに保管されると、法的または技術的手段による回収が極めて限られるためだ。4月には、Solana基盤のDrift Protocolも、$285 millionのハッキング後に同様の提案を行った。

今回の盗難は、2026年にハッキングで$840 million超を失ったDeFiにとって、すでに厳しい年にさらに損失を加えるものとなった。この事案はまた、同じArbitrum上の永久先物取引所Ostiumが侵害されたオラクルキーを通じて$18 millionを流出させたわずか1週間後に発生しており、Arbitrum上のレバレッジ取引プロトコルがインフラレベルの攻撃に特にさらされていることを浮き彫りにしている。