BitcoinおよびEthereum関連のクロスチェーンプロトコル、相次ぐ攻撃で3,500万ドル超を失う

攻撃はVerus、B² Network、その他のクロスチェーンシステムを直撃し、侵害された鍵、アップグレード権限、検証チェックによって、基盤となる暗号技術を破らずにプロトコルから資金が流出し得ることを示した。

6時間の間に、少なくとも3つの暗号資産ブリッジおよびクロスチェーンプロトコルから合計3,500万ドル超が流出し、これらのシステムの設計とガバナンスに繰り返し見られる弱点が露呈した。攻撃はVerus、B² Network、その他のクロスチェーン基盤を標的とし、CoinDeskが分析し、セキュリティ企業のBlockAidとPeckShieldが裏付けたブロックチェーンデータによれば、いずれのエクスプロイトも基盤となる暗号技術を破る必要はなかった。各事案は、コードが記述どおりに実行されたもののルール上は資金流出を許してしまうロジック上の欠陥、または攻撃者に不正な支配権を与えた侵害済みの鍵のいずれかに起因していた。

一連の攻撃は、スマートコントラクトのコードだけでなく、秘密鍵、アップグレード権限、検証チェックといったオフチェーン要素も監査する必要性を示している。クロスチェーンシステムでは、あるネットワークにロックされた資産を別のネットワークで安全に表章または解放できるかどうかを、こうした制御が左右する場合が多く、運用上のセキュリティは二次的な問題ではなく、プロトコル設計の中核を成す。

3つのエクスプロイト

無期限先物取引所のAFXは、Arbitrum上で運用するブリッジから約2,415万ドルを失った。Verus-Ethereumブリッジは754万ドルを流出させ、同じ欠陥を通じた今年2度目のハッキングとなった。BitcoinのスケーリングネットワークであるB²は、トークンのステーキングコントラクトから386万ドルを失った。

Verus-Ethereumブリッジ：同じ欠陥で2度目の流出

確認された攻撃の中で最も深刻だったのは、ブロックチェーンネットワークVerusを標的にしたものだった。BlockAidは木曜早朝、Verus-Ethereumブリッジ上のエクスプロイトを検知し、ether、トークン化bitcoin、複数のステーブルコインで約754万ドルが流出した。

🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum. An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves. More details in 🧵 — Blockaid (@blockaid_) July 23, 2026

同社は、この攻撃が以前のハッキングと同じブリッジコントラクトおよび侵入口を再利用し、同一種類のバグを悪用したものだと指摘した。CoinDeskは5月に発生したこの以前の事案を報じており、損失額は1,150万ドルだった。

ブリッジとは、本来相互にやり取りできない2つのネットワーク間で資産を移動できるようにするブロックチェーンベースのツールだ。一方の側で実際のトークンを保持し、他方の側でそれに対する請求権を発行する。その安全性は、すべての出金が別チェーン上でロックされた資産によって本当に裏付けられていることを正しく検証できるかに全面的に依存している。

この設計により、ブリッジは重大な影響を持つインフラとなる。検証の失敗は、会計上の誤りを即時の準備金損失へと変え得る。基盤となるチェーンが有効なブロックを生成し続けていても、ブリッジ層は解放すべきでない資産を払い出してしまう可能性がある。

Verusの欠陥により、攻撃者はVerus側で適切に裏付けられていないEthereum側の払い出しを発生させることができた。ブリッジは、ほとんど価値のない請求権に対して実際の資金を解放した。

5月の攻撃後、攻撃者は報奨金と引き換えに資金の大半を返還した。その後Verusは、セキュリティ研究者がまとめたオンチェーン記録によると、7月8日に回収資金を同じブリッジへ再入金した。ブリッジはその2週間後に再び流出被害を受けた。

その見誤った信頼の代償は、プロトコル自身の数値に表れている。DefiLlamaによれば、Verusは2025年初めに総預かり資産額が1億ドル近くあった。木曜時点でその額は約900万ドルまで減少しており、今週の最新ハッキングによる新たな下落を挟みながら、資金が徐々に流出している。

このような失敗の繰り返しは、個別の攻撃で盗まれた資金を失わせるだけではない。そもそもプラットフォーム上に資産を留めておく信頼も損なう。

B² Network：アップグレード権限が侵害

確認された別の攻撃は、Bitcoinでの取引をより安価かつ高速にするために構築されたスケーリングネットワーク、B² Networkを標的にした。

B²は木曜のアジア時間午前、攻撃者が同社のトークンステーキングコントラクトのアップグレード権限に不正アクセスしたと述べた。これは、そのコントラクトの挙動を制御する管理者権限である。

セキュリティ企業のLookonchainは、売却され、etherとステーブルコインに変換された後に移動された約386万ドル相当のB2トークンを追跡した。B²は、事案を封じ込め、ステーキングを停止し、影響を受けたユーザーに全額補償すると述べた。

スマートコントラクトの安全性は、それを制御する鍵と権限の安全性に左右される。攻撃者がコントラクトの動作を変更する権限を掌握した場合、コードにバグは不要だ。攻撃者は単にルールを書き換えるか、資金を直接流出させることができる。

これは、2022年のWormholeおよびNomadのブリッジハッキングから、今年初めのKelpDAOの約2億9,000万ドルの損失に至るまで、暗号資産史上最大級の盗難の背後にある失敗モードだ。

AFXとBalance：同じ根本パターン

24時間の間に、Verus、B²、AFX、Balanceの4チームが同じ根本的な理由で資金を流出させた。いずれも暗号方式が破られたわけではない。各チームは信頼された制御を失った。

Arbitrum上でブリッジを運用する無期限先物取引所AFXは、ブリッジ鍵が侵害された後、約2,415万ドルを失った。ステーブルコインプロトコルのBalanceは、100万ドルのエクスプロイトでBitcoin保管庫が流出した後、99%暴落した。

このパターンは、ブリッジ、保管庫、ステーキングコントラクト、アップグレード可能なシステムに依存するプロトコルにとって特に重要だ。こうした設計では、ユーザーは目に見えるコントラクトロジックだけを信頼しているわけではない。署名鍵の管理、管理者に課された制限、入出金が有効であることを確認するチェックにも依存している。

AI駆動型侵入の脅威拡大

こうした攻撃に対する防御は、今後さらに難しくなる可能性がある。今週公開された分析で、OpenAIは内部評価中に同社のAIモデルがテスト環境を抜け出し、盗まれた認証情報とこれまで知られていなかったソフトウェア上の欠陥を連鎖的に利用して、Hugging Faceのサーバーを侵害したと明らかにした。

このテストではモデルの安全制限が引き下げられていたため、システムが自律的に行動したわけではない。しかし、AIが現在では、最近まで熟練した人間のチームを必要としていた、忍耐強い多段階の侵入作業を実行できることを具体的に示した。

多くの業界では、侵害が発生してもインシデント対応を行い、最終的には復旧に向かう。だが暗号資産では、流出したコントラクトの結果は最終的で、チャージバックは存在しない。同じ能力は、取り消しボタンのない脅威を意味する。

木曜のすべての攻撃に共通する点は明確だ。鍵、アップグレード権限、検証チェックといった信頼された制御を見つけ出すツールはますます高度化しており、こうしたオフチェーン要素を監査しないプロトコルは引き続きリスクにさらされる。

出典：CoinDesk