暗号資産プラットフォームのAFXは、最近のセキュリティ侵害を受け、ハッカーに対して交渉による和解案を公に提示した。同社は、盗まれた約2,400万ドルのうち70%を返還することを条件に、攻撃者が30%を合法的に保持できるホワイトハット契約を提案した。

AFXはこの提案を公式X（旧Twitter）アカウントを通じて伝えるとともに、攻撃者が管理しているとみられるウォレットアドレスへオンチェーンメッセージを直接送信し、提案内容をブロックチェーン上で透明かつ検証可能なものにした。

交渉戦略

このアプローチは、他の暗号資産プラットフォームが過去に用いた、計算された一方でリスクの高い資金回収策を示している。AFXは提案をホワイトハット報奨金として位置づけることで、攻撃者に悪意ある行為者ではなく責任あるセキュリティ研究者として行動するよう促す狙いがある。30%の報奨金は、脆弱性を特定し、盗まれた資産の大部分を返還することへの対価とされており、長期化する法的争いとユーザー資金の恒久的な喪失を回避する可能性がある。オンチェーンメッセージングは、このような場面で標準的な手段となっており、盗難に利用されたブロックチェーン基盤そのものを通じて、通常は匿名の攻撃者にプラットフォームが連絡できるようにする。

この二つの経路を使った連絡方法により、提案はより広いコミュニティから確認できると同時に、暗号学的にも検証可能となっている。

業界での前例

こうした交渉手法は、暗号資産セクターにおいて前例がないものではない。2021年8月、クロスチェーンプロトコルのPoly Networkは当時最大のDeFiハッキングとなる6億1,000万ドルのエクスプロイトを受けたが、攻撃者に公に呼びかけ、ホワイトハット報奨金を提示した後、最終的にほぼすべての資金を回収した。より最近では、2023年3月にレンディングプロトコルのEuler Financeが、攻撃者との長期にわたるオンチェーン交渉の末、約1億9,700万ドルを回収した。ただし、結果は攻撃者の協力意思に全面的に左右されるため、保証されるものではない。一部のプラットフォームでは、ホワイトハット提案が完全に無視された例もある。

今回の事案は、暗号資産業界が直面する根強いセキュリティ課題を浮き彫りにしている。Chainalysisによると、暗号資産ハッキングによる盗難額は2022年に38億ドル超、2023年に約17億ドルに上り、スマートコントラクトの脆弱性と秘密鍵の侵害が引き続き主な攻撃経路となっている。これらの数字は、暗号資産プラットフォームにとって、堅牢なセキュリティ監査、バグ報奨金プログラム、迅速なインシデント対応手順が重要であることを改めて示している。

ユーザーと市場への影響

AFXのユーザーにとって、今回の侵害は不確実な期間を生み出している。盗まれた資金の70%が返還されれば部分的な回収となる一方、ハッカーが保持する30%は大きな損失に相当する。この事案はまた、同プラットフォームのセキュリティ基盤と、ユーザー資産を保護する能力について、より広範な疑問を提起している。このような侵害の影響を受けたユーザーは通常、資金回収交渉に数週間から数カ月を要する可能性があるため、長い待機期間に直面する。解決まで出金を停止したプラットフォームもある。

より広い暗号資産市場にとって、注目度の高いハッキングとその後の公開交渉は、投資家の信頼に影響し、規制当局の監視を招く可能性がある。交渉がオンチェーンで行われる性質は、従来金融ではほとんど見られない透明性をもたらす一方、ブロックチェーンベースのシステムに内在する脆弱性も明らかにしている。

背景：ホワイトハット報奨金とは

ホワイトハット報奨金とは、通常はセキュリティ侵害の後に、プラットフォームがハッカーに対して、金銭的報酬と法的免責と引き換えに盗まれた資金の返還を求める提案を指す。この枠組みでは、攻撃者は脆弱性を特定したセキュリティ研究者として扱われる。

この種の交渉が暗号資産業界で一般的かどうかについては、複数のDeFiプロトコルや取引所が過去に同様の提案を行っており、結果はまちまちだ。資金回収に成功した例もあれば、成功しなかった例もあり、最終的な結果は攻撃者の判断に左右される。

暗号資産コミュニティは現在、攻撃者がAFXの提案を受け入れるかどうかを注視している。