BounceBitのブロックチェーンにおける承認の欠陥により、攻撃者がアカウント所有者の許可なくBBトークンを移転できる状態となり、プロジェクトは単独チェーンを恒久的に閉鎖することを決定した。ネットワークを再構築する代わりに、BounceBitはBNB Chain上でBBを再発行し、インシデント前のスナップショットを用いて残高を算定する。

— BounceBit (@bouncebit) August 21, 2026

4時間の攻撃で2億8,650万BBが移動

インシデントは2026年8月19日21:02(UTC)に始まり、8月20日01:54(UTC)まで続いた。この間、攻撃者は9つのメインネットアカウントから約14件のトランザクションを実行し、約286,543,148 BBを移動させた。

この脆弱性は、Evmosスタックが提供する内蔵のプロトコル機能において特定された。この機能はロックアップアカウントおよびベスティング(権利確定)アカウントを支援するもので、例えば、あるアカウントが指定された資金提供者からトークンを引き出す操作などに対応している。プロトコルは資金提供者が引き落とし(debit)の許可を与えたことを検証する設計だったが、この承認は適切に適用されておらず、2回目の承認チェックが誤った対象に対して実行されていた。これにより、呼び出し元が任意のアカウントを資金提供源として指定することが可能となってしまった。

BounceBitは、今回のインシデントはウォレットハッキングではなくプロトコルの不具合によるものだと強調した。秘密鍵の盗難も、署名の偽造も、ユーザーのウォレット、ハードウェアデバイス、取引所アカウントの侵害も一切発生していない。この区別は、被害が個々のアカウントの侵害ではなくチェーンレベルの承認ロジックに起因するものであるため、ユーザーおよびカウンターパーティにとって重要な意味を持つ。

チェーン停止と状態の凍結

攻撃者は2つのメインアカウントと15件の使い捨てコントラクトを用いてエクスプロイトを実行した。資金はその後、中継アドレスを通じて統合・移動された。

BounceBitは8月20日02:36:37(UTC)、最後の不正移転の約42分後にあたるブロック20,702,857においてブロック生成を停止した。停止後に不正な移転がさらに発生することはなかった。またこの停止により、トークン移行に使用される台帳状態が確定され、残高および取り消し処理はインシデント後のチェーン履歴ではなく固定されたスナップショットから算定される。

同プロジェクトは取引所に対して支援および凍結の要請を提出したが、無関係な第三者の資金が含まれる混在アドレスについては正当な理由がないため、対象外としている。

BBはBNB Chainへ移行

BounceBitはさらなるネットワークアップグレードを追求しない。同プロジェクトによれば、開発が終了したEvmosベースのチェーンを維持するには、ネットワークの完全な再構築、監査、再検証を伴う大規模なリプラットフォーム化が必要になるという。

その代わりに、BBはBNB Chain上でBEP-20トークンとして再発行され、BounceBitの主要な実行環境として機能する。

再発行トークンの残高は、最初の不正移転の直前である2026年8月19日21:02:35(UTC)のタイムスタンプを持つブロック20,697,260の時点のスナップショットに基づいて算定される。インシデント中に移動した286,543,148 BBは、再発行トークンには引き継がれない。

スナップショットからチェーン停止までの間に記録された取引も取り消される。この期間中に発行されたBBはカウンターパーティに返還され、この期間中に送信されたBBは送信者に返還される。スナップショットには、当該ブロック時点でステークされたBBおよびアンボンディング(解除中)のBBも含まれる。