安全企業のBlockAid、PeckShield、およびオンチェーン分析機関のLookonchainの追跡によると、7月23日数時間の間に暗号資産プロトコルを狙った攻撃が相次いで4件発生し、ビットコインおよびイーサリアムのエコシステムが対象となった。累計損失は3,500万ドル超。損失が最大だったのは、ArbitrumのデリバティブプロトコルAFX Tradeで、クロスチェーンブリッジの秘密鍵漏えいにより2,400万ドルが送金された。
AFX Tradeのクロスチェーンブリッジ秘密鍵漏えい
Arbitrum上に構築されたAFX Tradeは、4件の攻撃の中で最も損失が大きい事例だ。BlockAidの検知によると、攻撃者は当該プロトコルのクロスチェーンブリッジの秘密鍵を入手し、その結果、約2,400万ドル相当の資産が送金された。
秘密鍵が盗まれた時点で、攻撃者は実質的に金庫の鍵を直接掌握するのと同じであり、ユーザーの資金を即時に食い止めることはほぼ不可能だ。クロスチェーンブリッジの秘密鍵漏えいは初めてではない。今年5月にはStake DAOが、デプロイヤーの秘密鍵漏えいにより攻撃を受け、Arbitrum上で5.4兆枚のvsdCRVが発行されたことがある。同様に、クロスチェーン基盤における鍵管理の脆弱性が露呈した。
Verusのブリッジ論理の脆弱性が2度目に悪用
イーサリアムのクロスチェーンブリッジ協議体Verusは約754万ドルを損失し、攻撃者がブリッジの入金経路にある論理上の脆弱性を悪用して、実際の担保がない資産をシステムが支払ってしまうようにした。盗まれたトークンにはETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDが含まれる。
これは同種の脆弱性が2度目に悪用されたケースでもある。今年5月、Verusは同じ種類のコントラクト欠陥により約1,150万ドルを損失していた。資金が7月8日に再入金されてから約2週間後、再び吸い上げられており、原初の脆弱性が一度も修正されていなかったことを示している。
B² NetworkとBalanceの同日攻撃
7月23日の4件の攻撃は以下のとおり：
AFX Trade（Arbitrum）：損失約2,400万ドル；クロスチェーンブリッジ秘密鍵漏えい；BlockAid検知
Verus（イーサリアム）：損失約754万ドル；ブリッジ論理の脆弱性（5月と同じ）；ETH、tBTC、USDC、USDTなどが盗難
B² Network（ビットコイン二層）：損失約386万ドル；ステーキング契約のアップグレード権限が攻撃；B2トークンがETHおよびステーブルコインに換金；プロトコルはステーキング機能を停止し全額補償を約束；Lookonchainが追跡
Balance：損失約100万ドル；ビットコイン金庫が抜き取られる；プロトコル発行のステーブルコインの価格が約99%下落
よくある質問
7月23日の暗号資産プロトコル攻撃はどのプロトコルが対象で、損失はいくらずつか？
BlockAid、PeckShield、Lookonchainの追跡によれば、4件の攻撃は以下のプロトコルを対象としていた：AFX Trade（損失約2,400万ドル、クロスチェーンブリッジ秘密鍵漏えい）、Verus（損失約754万ドル、ブリッジ論理の脆弱性）、B² Network（損失約386万ドル、コントラクトのアップグレード権限が攻撃）、およびBalance（損失約100万ドル、ビットコイン金庫が抜き取られる）。合計損失は3,500万ドル超。
Verusはなぜ同じ脆弱性が2度悪用されたのか？
Verusは今年5月に、ブリッジの入金経路にある論理上の脆弱性により約1,150万ドルを損失している。資金が7月8日に再び入金された後、原初の脆弱性は修補されておらず、その結果、約2週間後の7月23日に再び攻撃を受け、損失は約754万ドルとなった。
B² Networkは被害を受けたユーザーにどのような約束をしたのか？
報道によると、B² Networkは攻撃発生後にステーキング機能を停止し、影響を受けたユーザーに対して全額補償することを約束した。具体的な補償計画はB² Network公式の告知に従う。
