BounceBitは、攻撃者がプロトコルレベルの認可の欠陥を悪用し、9つのメインネットアカウントから無断で約2億8650万BBを移動させた事件を受け、Layer 1ブロックチェーンを恒久的に停止する。

同プロジェクトによると、今回の事件はEvmosベースのチェーンに影響を与えたが、秘密鍵やウォレットは侵害されていない。また、CeDeFi、Prime、RWAの各製品はエクスプロイトの影響を受けなかったことも確認されたという。

この事件を受け、BounceBitはBounceBit Chainを恒久的に終了し、BBをBNB Chain上のBEP-20トークンとして再発行する計画だ。新トークンはエクスプロイト前のスナップショットに基づいて発行され、攻撃者に移動された2億8650万BBは新しい資産には引き継がれない。

この詳細は、@WuBlockchain がXで共有した情報として報じられた。

BounceBit、プロトコルレベルの認可欠陥を特定

BounceBitによると、攻撃者はEvmosベースのブロックチェーンにおける認可メカニズムに影響を与えるプロトコルレベルの欠陥を悪用した。EvmosはCosmos SDKで構築され、Ethereum Virtual Machineと互換性を持つオープンソースのネットワークであり、BounceBit ChainはCosmosベースのインフラ上でEthereum形式のスマートコントラクトを実行していた。このエクスプロイトにより、9つのメインネットアカウントから約2億8650万BBが無断で移動された。

BounceBitは、今回の事件に秘密鍵や個々のウォレットの侵害は含まれないと強調した。この区別は、攻撃がユーザーの秘密情報への直接アクセスではなく、ブロックチェーンのプロトコルレベルの認可システム内の問題を狙ったものであることを示している。

同プロジェクトはまた、CeDeFi、Prime、RWAの各製品は今回の事件の影響を受けなかったとも述べた。CeDeFi（セントラライズド・デセントラライズド・ファイナンスの略）は、中央集権的な保管や利回り源とオンチェーンでの提供を組み合わせたハイブリッド型のサービスを指し、RWAはトークン化された実物資産を指す。

この無断移動の規模の大きさを受け、BounceBitは影響を受けたチェーンの運営を続けるのではなく、既存のLayer 1ネットワークを廃止するというより重大な措置を取ることとなった。

BounceBit Chain、恒久的な終了へ

BounceBitは、BounceBit Chainを恒久的に停止し、BBをBNB Chainへ移行すると発表した。計画では、エクスプロイト発生前に取得されたスナップショットを用いて、BBはBNB Chain上のBEP-20トークンとして再発行される。BEP-20は、Binanceに関連するスマートコントラクトネットワークであるBNB Chainにおけるファンジブルトークンの標準規格であり、EthereumにおけるERC-20と同じ役割を果たす。この方式は、新トークンを事件中に発生した不正な取引から切り離すことを目的としている。

移行の一環として、攻撃者に移動された約2億8650万BBは新トークンには引き継がれない。エクスプロイト前のスナップショットを利用するため、新トークンの分配は、資金の不正移動前に記録された残高に基づいて決定される。スナップショットに基づく回復は暗号資産の歴史に前例がある。2016年のDAOハックの後、Ethereumは影響を受けた資金を復元するハードフォークを実行し、その結果生じたチェーンの分裂によってEthereum Classicが誕生した。

BounceBitのこの決定により、Layer 1インフラとしての既存のBounceBit Chainは事実上終了し、BBトークンは確立されたブロックチェーン環境へと移動する。

BounceBitの資金調達と投資家の背景

エクスプロイト以前に、BounceBitは複数の著名企業からの投資を集めていた。同プロジェクトは2024年、Blockchain CapitalとBreyer Capitalが共同リードし、OKX VenturesとHTX Venturesも参加したシードラウンドで600万米ドルを調達した。

その後、BounceBitはBinance Labs（現在のYZi Labs）から個別の投資を受けた。

この資金は、Bitcoin関連の分散型ファイナンスやその他のブロックチェーンアプリケーションを軸にインフラを構築する同プロジェクトの開発を支えた。自社のLayer 1を恒久的に終了する決定は、当初のインフラ戦略からの大きな転換を意味する。同プロジェクトは、影響を受けたチェーンの運営継続を試みるのではなく、新しいBEP-20トークンを通じてBBをBNB Chainへ移行する。

秘密鍵とウォレットは侵害されていない

BounceBitの発表における重要な要点の一つは、今回の事件に秘密鍵やウォレットの侵害が含まれていないことだ。秘密鍵はユーザーがブロックチェーン資産を管理するための重要なセキュリティ情報であり、秘密鍵が侵害されると攻撃者が個々のウォレットに直接アクセスできる可能性がある。

BounceBitはその代わりに、今回の事件を自社チェーンのプロトコルレベルの認可欠陥に起因するものとした。また、CeDeFi、Prime、RWAの各製品は影響を受けなかったと述べ、これらのサービスを、BBの不正移動につながったインフラの脆弱性から切り離して説明した。

この区別が重要なのは、今回の事件がBounceBit Chainと、影響を受けたメインネットアカウントを通じて保有されていたBB資産に集中していたためだ。

エクスプロイト後、BBはどうなるか

移行では、BBはBounceBit ChainからBNB Chainへ、新しいBEP-20版のトークンとして移される。新資産はエクスプロイト前のスナップショットに依存する一方、攻撃者に移動されたトークンは新しい発行から除外される。つまり、エクスプロイトに関連する約2億8650万BBは、新しいトークン供給量において認められないことになる。

報じられた詳細では、スナップショットの正確な時刻や、保有者が新しいBEP-20トークンを受け取るために従う手続きについては明らかにされていない。こうした運用面の詳細は、通常、この種の移行の進め方を左右する要素である。

BounceBitにとってこの移行は、侵害されたLayer 1を廃止しつつ、別のブロックチェーン上にBBのバージョンを維持する手段となる。また、トークンを支える技術的基盤も、BounceBit ChainからBNB Chainへと変わる。

今回の事件は、ブロックチェーンネットワークにおけるプロトコルレベルの脆弱性に伴うリスクを浮き彫りにした。認可の欠陥は、個々のユーザーの秘密鍵を侵害することなく、大量のデジタル資産に影響を及ぼしうる。プロトコルやブリッジのコードを標的とした大規模なエクスプロイトは業界全体で繰り返されており、2022年のWormholeブリッジハックはその中でも特に著名な例である。Layer 1の恒久的な停止とBNB ChainへのBBの移行は、このエクスプロイトに対するBounceBitの大幅な対応を示すものであり、発表によれば同プロジェクトのその他の製品への影響はない。