AFXの奇妙な盗難事件：監査報告は穴だらけで、背後の会社は暗号取引所Phemexの疑いがある

著者：谷昱，ChainCatcher

今日、分散型永続契約取引所 AFX のクロスチェーンブリッジがハッキングされ、2400万ドル以上の資産が盗まれました。Defillama に表示されている TVL によれば、この金額はプロトコル全体が一掃されたことに相当します。

事件発生後、AFX は X に投稿し、主要なセキュリティ会社、エコシステムパートナー、取引所、関連当局と密接に協力して資金の流れを監視し、進行中の調査を支援していると述べました。

一、監査報告書の問題点

しかし、AFX の痛ましい教訓は早くから兆候があったようです。このプロジェクトは5月に正式にメインネットを立ち上げ、6月3日に監査報告書を発表しました。今日の盗難事件後、多くの専門的なセキュリティ専門家がこの報告書に重大な問題があることを発見しました。

この報告書の中で、セキュリティ監査会社 Zellic は11の問題を発見したと述べており、その中には2つの重要な問題があり、1つは高い影響を持ち、6つは中程度の影響を持つとされています。

「今回の監査はブリッジプロトコルを構成する一部のコンポーネントのみをカバーしており、全てのセキュリティクリティカルパスのテストカバレッジが不足しているため、特に重要です。これは、私たちの正確性を検証する能力を制限するだけでなく、AFX の将来のセキュリティメンテナンスシステムの能力も制限します。さらに、再監査が急務な重要な要因は、当時リアルタイムまたはローカル環境で実行または相互作用する能力がなかったことです。これにより、機能を検証し、エッジケースを探求し、静的レビュー以外のシステムの動作評価を行う能力が大幅に制限されました。」と Zellic はまとめの部分で書いています。

Zellic の開示によれば、彼らがアクセスし検証できたコードはブリッジプロトコルの一部のコンポーネントのみをカバーしており、完全な資産のクロスチェーンフローをカバーすることはできず、実際の運用環境でテストすることもできませんでした。これは、クロスチェーンブリッジの最も重要な資産の保管、署名検証、権限管理などのクリティカルパスについて、監査機関が実際には完全な結論を出すことができないことを意味します。

Zellic はまた、プロジェクト側が報告書に基づいて脆弱性修正を完了した場合でも、監査機関はこれらの修正が正しく実施されたかどうかを確認できず、修正過程で新たな脆弱性が導入されることを保証することもできないと特に警告しています。これは、報告書が実際にはブリッジプロトコルが「安全」であることの証明として機能せず、一部のコードに対する段階的なチェック結果に過ぎないことを意味します。

数千万ドルの資産を管理するクロスチェーンブリッジにとって、「監査範囲が不完全」であること自体がリスクです。監査機関がシステム全体の安全境界を確認できない場合、ユーザーは実際にプロトコルの真の安全性を判断することが非常に難しくなります。

これに対し、MetaMask のチーフプロダクトマネージャー、MyEtherWallet および MyCrypto の創設者 [Taylor Monahan](https://www.rootdata.com/zh/member/Taylor Monahan?k=MTEyMTI=) は X で、AFX クロスチェーンブリッジのこの監査報告書は「非常に恐ろしい」と述べ、大量の「確認済み」の問題が修正されていないことに対して、ユーザーが2400万ドル以上をこのプロトコルに転送することに対して非常に理解できないと表明しました。

「この監査は、根本的に『完全ではない真の M of N システム』に責任を持たないチームを強く指し示しています。未処理のエッジケース？問題ありません。ユーザー資金の手動操作？問題ありません。強盗を防ぐために完全にチームの介入に依存する？問題ありません。」

Taylor Monahan は、AFX のすべてのバリデーターとキーが同じシステム上にあるか、単一の人物によって制御されている可能性が非常に高いと推測しています。

二、親会社は Phemex の疑い

ChainCatcher の記者は AFX チームをさらに調査し、このプロジェクトが暗号通貨取引所 Phemex と密接に関連しているようで、Phemex がその親会社である可能性が高いことを発見しました。

チームメンバーの複雑な関連は支援的証拠の一つです。AFX の成長責任者 Ken の X アカウント の以前のプロフィールは「Head of Listing @phemex_official」であり、これは Phemex の上場責任者であり、どの取引所にとっても最も重要な機能の一つです。

AFX の公式 X アカウントがフォローしている別のチームメンバー Damon は、他に公開された情報はありませんが、彼の X アカウントは4ヶ月前に作成され、AFX アカウントをフォローした後、少なくとも3名の Phemex 取引所のチームメンバーの X アカウントをフォローしています。

さらに、Phemex 取引所の公式ブログは AFX を紹介する多くの記事を公開しており、例えば「Unlock Your Strength: Discover Why AFX Protocol Transforms Lives」、「The Philosophy of Anti-Fragility: Why AFX Protocol Matters」、「Dive into the Multi-Asset Perps Revolution!」、「Top 5 Perpetual DEXs to Watch in 2026」などがあり、最後の記事では AFX 取引所が Hyperliquid などの他の Perp DEX の最前面に位置しています。

現在、前述の文章はすべて Phemex の公式サイトから削除されていますが、Google でタイトルを検索すると、これらの文章のリンクは検索結果にまだ表示されています。

もう一つの関連証拠は、二つのプロジェクトのロゴのテーマスタイルが非常に似ており、蛍光緑から青緑へのグラデーションカラーを使用し、純黒の背景と組み合わせており、視覚的な雰囲気や色調の方向性がほぼ一致していることです。これは、両者が同じデザインチームを持っている可能性を反映しているかもしれません。

チームの経歴、公式の歴史的宣伝、ブランドデザイン、公開された運営の痕跡を総合すると、AFX と Phemex の間には普通のエコシステムパートナーを超えた関係が存在します。

最も「考えさせられる」問題は、Phemex 取引所も2025年1月に7000万ドル以上が盗まれたことがあり、その際外部の分析では北朝鮮のハッカーによるものである可能性が高いとされました。当時、Phemex チームはユーザー資産に影響はないと述べ、プラットフォームはこの事件による損失を負担し、すぐに通常の引き出しプロセスを回復すると発表しました。

AFX 製品を発売する際、Phemex は明らかに事前にリスク隔離の準備を整えており、両者はブランドや株式などの複数のレベルで公に関連性はありませんが、それでも両者の密接な関係を隠すことはできません。

現在、数千万ドルの損失の悲劇が再び繰り返されています。これは果たして北朝鮮のハッカーの再犯なのか、それとも内部の人間による計画的な収穫なのか、さらなる証拠と分析が必要です。