AFX Tradeは、Arbitrum上で構築され、ドルペグのUSDCで決済を行う分散型パーペチュアル取引所である。同プロトコルが運営するブリッジのバリデーター署名鍵が攻撃者に侵害された結果、水曜日に約2415万ドルが流出したと、ブロックチェーンデータが示している。

本件は、スマートコントラクトの脆弱性ではなく、オフチェーンコンポーネントを標的とした一連の著名なエクスプロイトの最新事例である。今回、オンチェーンのロジックは設計通りに機能し、署名を検証して取引を実行した。問題は、それらの署名を生成した秘密鍵にあった。

セキュリティ企業Blockaidは、2026-07-22 21:30 UTCに@AFX_XYZ、@arbitrum上のプロトコルを標的とするエクスプロイトを検知した。このエクスプロイトはAFXが運営するブリッジに特有のものであり、約24.15M USDCがプロトコルから流出した。

Blockaid detected an exploit at 2026-07-22 21:30 UTC targeting @AFX_XYZ, a protocol on @arbitrum. The exploit was specific to a bridge that AFX operates. Approximately 24.15M USDC has been drained thus far from the protocol. Our team has been working with the incredible folks on… — Blockaid (@blockaid_) July 22, 2026

攻撃の経緯

ブリッジは引き出しを承認するために、約3分の2の定足数にあたるバリデーター署名を必要とした。攻撃者は、ブリッジ運営者がオフチェーンで保持するホットキーである秘密のバリデーター署名鍵を十分な数だけ入手し、5つの有効なホットバリデーター署名を生成して、24,150,000 USDCの攻撃者ウォレットへの移動を承認するために必要な閾値をクリアした。

コントラクトは引き出しを正当なものとみなし、200秒の異議申立期間の経過後に資金を解放した。この時間枠は、手動での介入や緊急停止を行う猶予をほとんど残さなかった。Blockaidは、オンチェーンのロジックは迂回されなかったことを確認した。ブリッジは設計通りに機能したが、引き出しを承認した鍵が不正な手中にあった。

攻撃者はその後、盗んだUSDCをEthereumにブリッジし、約24万ドル相当の約12,467 ETHに交換した。オンチェーントラッカーによれば、これらは現在単一のウォレットに保持されている。ETHへの変換が注目されるのは、USDCの発行体であるCircleが過去の事例においてコントラクトレベルで盗まれたトークンを凍結したことがあるが、資金がネイティブETHとして保持されるとこの手段は利用できなくなるためである。

オンチェーンの取引データが資金の移動を裏付けている。

Arbitrumのネイティブブリッジへの影響なし

Arbitrumを開発・保守するOffchain Labsの共同創設者であるSteven Goldfederは、ネットワークのネイティブブリッジは「いかなる形でもハッキングやエクスプロイトを受けていない」、および当該取引はサードパーティのプロトコルに起因するものだと述べた。

Arbitrum自身のブリッジの侵害は、レイヤー2ネットワーク全体にシステミックリスクを示唆するものであった。しかし、その上で稼働するプロトコルの侵害は、限定的な障害にとどまる。ブリッジとは、ネイティブでサポートしていないネットワーク間でトークンを転送するためのブロックチェーンベースのツールである。

タイミングと背景

このタイミングはAFXにとって特に打撃が大きかった。同プロトコルの取引アクティビティは攻撃直前まで急激に上昇しており、DefiLlamaによると、7月中旬には日次パーペチュアル取引量が数か月ぶりの高水準に達していた。プラットフォームが新規ユーザーを集め、それに伴って預金も増加していた。流出した約2400万ドルは、AFXの総ロックバリュー（TVL）のほぼ全体に相当し、攻撃者は金庫が最も満たされた瞬間に近いタイミングでこれを空にしたことを意味する。

本件は、4月に発生した約2億8500万ドルのDrift Protocolの損失と類似している。同事例でも、攻撃者はスマートコントラクトを破壊するのではなく、何か月もかけて特権アクセスを獲得していた。両事例は、監査済みのスマートコントラクトの突破が難しくなる中、攻撃者が鍵管理、オラクル操作、特権保持者のソーシャルエンジニアリングといった運用セキュリティの弱点へと標的を移していることを浮き彫りにしている。

今回の損失は、暗号資産セキュリティにとって厳しい時期に発生した。HackenのQ2セキュリティレポートによると、2026年第2四半期は記録上最悪の四半期の一つとなり、Arbitrumベースのプロトコル群が次々と攻撃を受けた。わずか1週間前には、オラクルエクスプロイトによりRWAプラットフォームOstiumから別途1800万ドルが流出している。今年のハッキングやエクスプロイトの大半は、スマートコントラクト自体の脆弱性ではなく、オフチェーンコンポーネントを標的としていた。