Triple-Aは、財務ウォレットへの不正アクセスにより会社保有のデジタル資産が流出した一方、顧客資金は影響を受けなかったと述べた。シンガポール拠点の決済事業者である同社は土曜日にこの事案を検知し、月曜日には顧客資産が侵害されたインフラから分離されていたと確認した。

アクセスを把握した後、同社は一部サービスをメンテナンスモードに切り替えた。メンテナンス期間は約3時間で、その間にTriple-Aは影響を受けたインフラを保護したと説明した。

Triple-Aは顧客のためにデジタル資産を保有していないとしている。代わりに、顧客資金は保護会社の信託口座に保管されている。同社は、この仕組みにより侵害が顧客資金に及ぶことを防いだと説明し、事業用ウォレットと顧客残高の分離が決済事業者にとって重要であることを示した。

ブロックチェーン研究者は、Triple-Aの公表前である週末に不審な取引を確認した。この動きには同社に関連する複数のウォレットが含まれていた。当初、問題の資産がTriple-A、顧客、または支払いの受取人のいずれに属するのかは不明だった。

オンチェーン調査員のSpecterは、最初に関連ウォレットから$9.3 million超が流出したと推定した。その後、追加取引の確認を受けて推定額は$9.7 million超に引き上げられた。さらにSpecterは、損失は約$11.8 millionに達する可能性があると推定したが、Triple-Aはこの数字をまだ確認していない。

There appear to be ongoing wallet draining involving @TripleH hot wallets across multiple chains, including TRON, Ethereum, TON, and Solana. So far, more than $9.3M has been drained, swapped, and bridged to Ethereum. The funds are currently being consolidated here: Ethereum… pic.twitter.com/pLKvVwMWav — Specter (@SpecterAnalyst) July 24, 2026

同社は、ウォレットハックに関連する損失額を公表していない。更新情報では、資産は同社に属する財務保有資産として説明された。

Triple-Aはまた、侵害がどのように発生したのかも説明していない。攻撃者がどのような認証情報やその他の手段でアクセスしたのかは現時点で不明である。

同社によると、内部セキュリティチームおよび外部のサイバーセキュリティ企業と連携している。ブロックチェーン・フォレンジックの専門家、当局、シンガポール警察も調査に関与している。Triple-Aは、調査がいつ完了するのか、追加の調査結果がいつ公表されるのかについては示していない。

また、資産の一部がすでに凍結または回収されたかどうかも明らかにしていない。同社は、調査には追跡と回収の両方の取り組みが含まれると述べており、これは侵害された資金をさらに移動される前にチェーンをまたいで追跡できるかどうかを左右することが多い。

この事案は、最近発生した別のDeFiセキュリティ事案であるLien Financeのケースに続くものだ。同プロトコルは、債券の検証および価格設定ロジックの脆弱性が悪用され、542,144.63 USDCを失ったと報告されている。

🚨SlowMist TI Alert🚨 💸 @LienFinance Loss: ~542k USD 🔍 Root Cause: The exchangeEquivalentBonds function in BondMakerCollateralizedEth lacks proper multiset integrity checks. It only counts total exception occurrences instead of verifying each bondID's appearance per group.… — SlowMist (@SlowMist_Team) July 24, 2026

SlowMistによると、コードの欠陥により、裏付けのない債券トークンを作成し、担保なしでUSDCと交換できたという。

研究者によると、2026年の最初の7か月間でDeFi攻撃による損失は$630 millionを超えた。一般的な手口には、オラクル操作、価格設定の脆弱性、認証情報の侵害、脆弱なブリッジ検証などが含まれる。Triple-Aのウォレット侵害は、こうした暗号資産関連のセキュリティ事案の流れに加わるものとなった。