Arbitrum AFX Bridgeが約2,415万ドル相当のUSDCを対象にハッキングされたと報じられている。これは執筆時点で独立して検証されていない初期のソーシャルメディア報告に基づくものだ。この主張は、Arbitrum上のクロスチェーンブリッジでエクスプロイトが発生した可能性を示しているが、主要な詳細は記事公開時点で未確認のままだった。

クロスチェーンブリッジは、分散型金融インフラの中でも最も頻繁に標的とされるカテゴリーの一つである。主な理由は、あるチェーン上でプール資産をロックし、別のチェーン上でその表現資産を発行またはアンロックする仕組みを持つためだ。これにより価値が集中的に保管され、攻撃者がスマートコントラクトのロジック、バリデーター署名、またはメッセージ伝達メカニズムの脆弱性を悪用しようとする可能性がある。

報告された事案は、Arbitrumネットワーク上のAFXブランドのブリッジに関するもので、盗まれたとされる資金はUSDC建てとされている。この疑惑はX上のアカウントを通じて拡散されたが、プロトコルまたは関連チームによる公式声明とは照合されていない。

この報告を裏付ける調査ファイルは、完全に検証済みではなく部分的なものと分類されている。この区別は重要だ。報告された金額とエクスプロイトの存在はいずれも、現時点では単一の報告元に依存している。そのため、これらの数字は公式およびオンチェーン上の確認を待つ疑惑として扱う必要がある。

同じ事案に関する報道は他にも出始めており、Arbitrum上のAFX Tradeブリッジのエクスプロイトによって約2,400万ドル相当のUSDCが流出したとする報告も含まれる。複数の媒体で同様の数字が示されている場合でも、公的なオンチェーンの追跡記録が公開されるまでは、独立した検証ではなく、報道内容の一致として扱うべきである。

確認されていることと未検証のこと

本記事の基となる調査ファイルには、独立して検証された事実は記録されていない。執筆時点で、確認済みのトランザクションハッシュ、攻撃者アドレス、またはプロトコルによる認知は記録されていなかった。

閲覧可能な裏付け資料は整理されておらず、この事案について市場データ、専門家のコメント、規制面の文脈も検証されていない。ウォレットアドレス、エクスプロイトの仕組み、攻撃者の帰属に関する情報はいずれも情報源を確認できないため、意図的に省略している。

同ネットワークを巡るセキュリティ上の懸念は今回が初めてではない。Arbitrumでは過去にも、オラクル操作に関連したOstiumのボールトエクスプロイトを含むプロトコルレベルのエクスプロイト報告があり、この文脈は、同チェーン上のブリッジやスマートコントラクト関連の事案が迅速に注目を集める理由を説明するものだ。

報告を確認するために必要なこと

この件について推奨される編集上の扱いは、拡散するのではなく保留し、慎重に再構成することだ。現在の証拠基盤が薄いためである。いくつかの具体的な確認が得られれば、報告の信頼性は大きく高まる。

第一に、AFXブリッジチームまたは関連プロトコルによる、事案を認めるまたは否定する公式声明が必要となる。

第二に、オンチェーン上の証拠が必要だ。すなわち、Arbitrumのブロックエクスプローラー上で資金移動を示し、攻撃者アドレスを特定できる検証可能なトランザクション履歴である。

第三に、明確な資金状況が必要となる。これには、報告されたUSDCがブリッジ外へ移動されたのか、スワップされたのか、または凍結されたのかが含まれる。USDCは発行体によって裏付けられたステーブルコインであり、発行体であるCircleは特定のアドレスをロックできるオンチェーン凍結機能を運用している。この仕組みは過去のエクスプロイト回収でも使用されたことがある。ただし、その機能が今回適用されるかどうかは、受け取りアドレスの特定と、凍結が執行可能なチェーン上に資金が残っているかに左右される。

事案が確認された場合、次の焦点は運用上の影響範囲となる。入金、出金、または一般的なブリッジ機能が停止またはユーザーに影響しているかどうかだ。これらの詳細により、今回の報告が単発の流出なのか、継続的なリスクなのかが判断される。

Arbitrumのトークン市場ページのような、より広範なネットワークに関する文脈情報源は、それ自体ではエクスプロイトの主張を裏付けるものではなく、確認ではなく背景説明のためにのみ有用である。ブリッジおよびプロダクトリスクは、7月にBitMEXが65の取引ペアと契約を上場廃止したことに関する最近の報道を含め、業界全体で繰り返し問題となっている。

プロトコルの声明、オンチェーンの追跡記録、明確な資金状況が公表されるまでは、報告された損失は確定した事案ではなく、未確認の疑惑として扱うべきである。検証可能な情報が入り次第、本記事は更新される予定だ。