クロスチェーンブリッジ

去中心化計算ネットワーク Cysic は X プラットフォームでイベント報告を発表し、そのクロスチェーンブリッジが土曜日に攻撃を受け、攻撃者が処理の脆弱性を利用して BNB Smart Chain 上で 1000 万枚の CYS を無許可で鋳造したことを報告しました。現在、そのクロスチェーンブリッジは停止されています。初期調査の結果、攻撃者はそのクロスチェーンブリッジを支えるデータベースに無許可でアクセスしたことが示されています。報告によると、この鋳造は UTC 時間 12:31:38 に発生し、Cysic は 13:47:52 にその受取アドレスをトークン契約のブラックリストに追加しました。その時、そのアドレスは約 280 万枚の CYS を保持しており、送金は制限されていました。Cysic は、この事件はクロスチェーンブリッジのメッセージ処理と鋳造の段階に限られており、メインネットや他の運営システムには影響を与えず、ユーザーのウォレットに既にある CYS や他の資産が盗まれたり無許可で移転されたりすることはなかったと述べています。Cysic は、鋳造数量自体が最終的なドル損失を特定するものではなく、関連するトークンの送金、交換および実際の損失はまだ確認中であると強調しています。会社はセキュリティ機関を雇用し、現在の調査段階が終了した後に続報を発表する予定です。CYS は Cysic ネットワーク内のユーザー、計算力提供者、ガバナンス参加者および貢献者のインセンティブを調整するために使用されます。

公式発表によると、Payyは9月24日のクロスチェーンブリッジ契約の盗難事件に対して、影響を受けたユーザーの賠償プロセスを開始することを発表しました。賠償申請の受付期間は30日です。適切な賠償は、イーサリアムネットワーク上のUSDC形式で行われます。同時に、Payy Walletは現在一時停止中であり、賠償受付期間終了後に完全に停止されます。

Layer 2 ネットワーク Blast は、現在のネットワーク維持コストが L2 の収益を超えているため、運営を停止することを発表しました。チームは、経済的に持続可能な運営を実現する信頼できる道が存在しないと考えています。Blast は、すべてのユーザーに対して、チェーン上の資産および Blast PWA の残高をイーサリアムメインネットに引き出すことを推奨しており、引き出し待機時間を 24 時間に短縮する計画です。ただし、チームはまず Blast が保有する Lido 資産の引き出しを処理し、約 1 週間かかると予想しています。この期間中、引き出し機能は一時的に利用できなくなります。ユーザーは 10 月 26 日までに Blast の通常インターフェースを通じて引き出しを完了できます。その後も資産は引き出すことができますが、イーサリアム L1 上の Blast Bridge コントラクトと直接やり取りする必要があります。チームは締切前に具体的な操作説明を発表します。

予言機ネットワーク Chainlink は月曜日にクロスチェーン相互運用プロトコル CCIP 2 を発表し、その通信およびクロスチェーンブリッジインフラストラクチャに重大なアップグレードを行いました。新しいバージョンでは、企業が Chainlink のデフォルトの 16 の独立したノードオペレーター検証ネットワークの上に、自ら安全な検証チェックを追加することが可能になり、企業は自社の検証者を運営するか、Infosys、Nethermind などの外部サービスプロバイダーを雇うことができます。Chainlink は、ユーザーが「クロスチェーンセキュリティインフラストラクチャの専門家」に強制されるべきではないと述べています。今回のアップグレードは、今年の 4 月に Kelp DAO がハッカー攻撃を受けてから約 5 ヶ月後のことです。攻撃者は北朝鮮の Lazarus 組織に関連しているとされ、Kelp クロスチェーンブリッジが依存している単一の検証者を欺くことによって、約 2.92 億ドルの rsETH を盗みました。このクロスチェーンブリッジは LayerZero に基づいて運営されています。LayerZero は責任を Kelp が単一の検証者のみを使用していたことに帰していますが、Kelp は LayerZero のスタッフがその設定を確認し、異議を唱えなかったと述べています。Kelp はその後、rsETH を Chainlink に移行することを発表しました。アップグレードは同時に Chainlink が以前に大々的に宣伝していた保証メカニズムを調整し、そのリスク管理ネットワークはもはや独立した再確認ノードとして機能しなくなり、このような独立したチェックはオプションの検証者によって提供されることになります。これは、検証者を追加していないユーザーが現在、1 つの検証ネットワークにのみ依存していることを意味し、以前は 2 つでした。既存の Chainlink ユーザーは自動的に新しいバージョンに移行されましたが、会社は新しい検証者を使用する機関をまだ発表しておらず、Aave と Maple がこのアップグレードの他の機能を採用し始めたことのみを示しています。

DyorSwap の公式発表によると、チームが以前に特定したいわゆる「GIWA メインネット」は、実際には詐欺師によって設立された偽のチェーンであるとのことです。この偽のネットワークは正しい GIWA チェーン ID（9134）を使用しており、初期検証段階では合法に見えました。チームはまた、関連するコミュニティ内でいくつかの疑わしいメッセージや個人を特定しており、これらが今回の事件に関連している可能性があります。発表によると、この詐欺的なクロスチェーンブリッジによって重大な損失が発生したとのことです。DyorSwap は、直ちに三つの措置を講じると述べています。一つ目は、専門のセキュリティチームに連絡し、さらなるオンチェーン追跡を行い、関与するアドレス、取引、資金の流れを調査することです。二つ目は、すべての関連証拠を保存すること、これにはチャット記録、RPC 情報、クロスチェーンブリッジのアドレスおよびオンチェーン取引が含まれます。三つ目は、国庫資金を使用して影響を受けたユーザーに補償を準備することです。資格基準、損失確認プロセス、補償範囲および詳細な計画は、調査および確認プロセスが完了した後に発表される予定です。DyorSwap は、別途通知があるまで、ユーザーは非公式の GIWA メインネット RPC、クロスチェーンブリッジまたは契約を使用しないように、また、関連するアドレスに資金を送信しないようにお願いしています。公式は今回の事件で影響を受けたすべてのユーザーに深くお詫び申し上げており、今後の更新をできるだけ早く発表することを約束しています。

KelpDAO は X プラットフォームで、LayerZero およびその共同創設者 Bryan Pellegrino に対して訴訟を提起し、今年初めの rsETH クロスチェーンブリッジ攻撃事件について責任を追及しています。訴状では、LayerZero がその技術の固有の弱点とリスクを十分に開示していないこと、セキュリティインフラが侵害されるのを防げなかったこと、LayerZero が Kelp のデプロイと設定を文書でレビューし承認していたことが主張されています。公式の発表によると、LayerZero は最近、責任を自らに帰属させることを公表しました。この攻撃事件以降、チームはユーザー資産の安全を確保するために行動を起こし、rsETH のクロスチェーンブリッジをより安全なクロスチェーン標準に移行しました。LayerZero の共同創設者兼 CEO の Bryan Pellegrino はツイートで、KelpDAO の関連主張は根拠に欠けるとし、バンクーバーで応訴し反論する意向を示しました。以前、LayerZero は事故報告を発表し、2026 年 4 月 18 日に LayerZero に基づいて構築された KelpDAO rsETH クロスチェーンブリッジが攻撃を受け、約 116,500 rsETH、約 2.92 億ドルの損失が発生したことを示しました。

ホスティング型クロスチェーンブリッジ Long は、9月14日に WETH ハッキング事件の事後報告を発表しました。当日 07:07 UTC、ブリッジは Robinhood Chain の金庫から攻撃者のアドレスに 46.7928 WETH（約 11.8 万ドル）を支払いました。ユーザー資金の損失はなく、金庫はプラットフォームの収益から全額補填され、ブリッジは再構築され強化され、引き続き運用されています。復旧期間中、一部の注文は数時間遅延しました。ブリッジのキーパーは、RPC を通じて Arc 上の消失イベントを読み取り、資産を解放しました。その時、公式のメインネットエンドポイントはオンラインではなく、公共の RPC に依存していました。バックアップエンドポイントが過剰になった後、メインエンドポイントは短いウィンドウ内でキーパーに偽造出金イベントログを提供しましたが、これらのイベントは Arc 上には存在しませんでした。キーパーは当時、リプレイと重複支払いに対する防護を行っており、データソースを疑問視せず、そのために WETH を解放しました。同時期に他の三件の偽造出金はすべてチェーン上で取り消されました。偽造イベントは RPC チャネルを通じて入り、契約、キー、金庫は突破されませんでした。

Osmosis は X プラットフォームで発表し、Nomic nBTC クロスチェーンブリッジで安全事件が発生したため、Osmosis は BTC Alloyed 資産の鋳造と償還を一時停止し、入金と出金も同時に停止しました。Osmosis 上の BTC は 30% の nBTC によって支えられています。チームは近日中に完全な事後分析と復旧計画を発表する予定です。プール内の BTC は引き続き取引可能であり、ユーザーにはリスクに注意するように警告しています。

アメリカ合衆国連邦捜査局（FBI）は、ブロックチェーン分析、人間の情報、裁判所の命令を組み合わせて、Hamasに流れる予定だった56万ドル以上の暗号通貨を追跡し押収しました。調査は、共有ウォレット、クロスチェーンブリッジ、取引所、及びステーブルコインアカウントに関連しています。2025年の3月、6月、10月に3回の押収作戦が行われました。調査官は、Hamasの軍事部門であるAl Qassam Brigadesに関連する複数の寄付アドレスが同じGasウォレットを使用して手数料を支払っていることを発見し、Reactorを通じて寄付ウォレットから運営ウォレット及び関連インフラへ資金が流れる様子を可視化しました。2025年6月の事件では、資金が新しいアドレス、アカウント、店頭仲介業者及び疑わしいマネーロンダリングアカウントを通じて流通しました；10月にはネットワークが使い捨て寄付ウォレットとクロスチェーンブリッジに切り替わりました。裁判所の命令により、Tetherは指定されたアドレスのUSDTを焼却し、法執行ウォレットに同額の資産を再送信するよう求められ、バイナンスは3つのアカウントの残高を移動するよう要求されました。

ユーザーはブリッジツールを使用することなく、Ethereum、Base、Arbitrum、Suiなどのネットワーク上でサポートされているトークンをJupiterに送信し、Solanaウォレットで直接USDCを受け取ることができます。この機能はルーティング、クロスチェーンブリッジ、および交換プロセスを統合しており、ユーザーはネットワークを切り替えたり、追加の取引を実行したりする必要がありません。現在のサービスは統一された固定料金を採用しており、取引ごとに0.3ドルが請求されます。送金額が100ドルであろうと1000万ドルであろうと、料金は変わりません。

BNBチェーンのブロックチェーンネットワークは、BNBスマートチェーン（BSC）メインネットでPasteurハードフォークを有効化しました。このアップグレードは、クロスチェーンブリッジの検証、バリデーターの権限付与、ステーキングおよびガバナンスのセキュリティに関わり、450ミリ秒のブロック時間を変更することなくブロック容量を向上させます。今回のアップグレードには、BEP-682、BEP-695、BEP-675が含まれており、それぞれ重複バリデーターエントリー、バリデーターキーのローテーションおよび罰則ガバナンス、ブロック提出プロセスに関わります。内部テスト環境QANetでは、新しいプロセスによりスループットが毎秒1237件から2324件に向上しましたが、関連データは制御されたテストからのものであり、メインネットの測定結果ではありません。

慢雾安全チームは、クロスチェーンブリッジプロジェクト Allbridge が 2026 年 8 月 19 日に攻撃を受け、約 19 万ドルの損失を被ったことを明らかにしました。注目すべきは、この攻撃が即座に完了したわけではなく、攻撃者は約 1 ヶ月前から準備を進め、偽のクロスチェーンメッセージを通じて検証メカニズムを回避したことです。慢雾の分析によると、攻撃者は 7 月 26 日に Polygon チェーン上で Circle の MessageTransmitterV2.sendMessage 関数を直接呼び出し、CCTP スタイルのクロスチェーンメッセージを偽装し、100 万枚の USDC の送金があると主張しましたが、実際には USDC の焼却操作は行われませんでした。その後、Circle は通常のプロセスに従って、その完全なメッセージに対して有効な検証証明（attestation）を生成しました。約 24 日後の 8 月 19 日、攻撃者は Base Router が実際の CCTP 入金を受け取り、残高が約 19.1 万 USDC に増加するのを待ち、わずか 6 秒後に攻撃を開始しました。攻撃者は以前に偽造したメッセージと検証証明を利用して Allbridge の receiveCctpMessage 関数を呼び出しましたが、プロジェクトは重要な検証を欠いていたため、システムは虚偽のクロスチェーンメッセージを実際の入金と誤認し、100 万 USDC の額面を記録しました。その後、攻撃者は Aave のフラッシュローンを利用して約 80.9 万 USDC を一時的に借り入れ、Router の残高を偽造された金額と一致させ、内部の信用記録を利用して送金関数を呼び出し、最終的に約 99.9 万 USDC（0.1% の手数料を差し引いた後）を送金しました。フラッシュローンと手数料を返済した後、攻撃者は約 18.98 万ドルの純利益を得ました。この脆弱性の根本的な原因は、Allbridge がクロスチェーンメッセージの送信者と受信者の身元を検証せず、USDC が実際に鋳造されたかどうかや残高が実際に増加したかを確認しなかったことにあります。攻撃者が構築した金額とメッセージのハッシュデータを直接信頼してしまったのです。慢雾は、オンチェーンメッセージの検証が実際の資産の入金と同等ではないことを強調しています。クロスチェーンプロトコルは、メッセージの真実性を検証するだけでなく、メッセージの出所が信頼できること、受信者が Circle の公式 TokenMessengerV2 であることを確認し、資産が実際に鋳造され、残高が変化したことを確認した後に資産の記帳を行う必要があります。この事件は、クロスチェーンブリッジにおけるメッセージ検証と資産決済の段階での安全リスクを再度浮き彫りにしました。

メタバースゲームプラットフォーム The Sandbox は、そのクロスチェーンブリッジに脆弱性が存在することを確認し、攻撃者が Base と BNB Smart Chain 上で無担保の SAND を増発した。ブロックチェーンセキュリティ会社 PeckShield は 8 月 21 日に、2 つのアドレスが合計約 149 億枚の SAND を増発したことを発見し、その後 The Sandbox は 2 つのネットワークのブリッジ機能を停止した。The Sandbox は、影響を受けたのは Base と BNB Smart Chain 上のブリッジ資産であり、Ethereum と Polygon 上の SAND、ユーザーのウォレット資産、およびトークンを支えるためにロックされた Ethereum 資産には影響がないと述べた。今回の事件は、実際の担保資産の割合が SAND の総供給量の 0.01% 未満である。The Sandbox は、影響を受けた流動性提供者のための補償プランを策定中であり、ユーザーにはブリッジ機能が復旧するまで Base または BNB Smart Chain 上の SAND を取引しないように推奨している。Coinbase は 8 月 26 日に SAND を含む 10 の永久先物契約を上場廃止する予定で、その際未決済ポジションは自動的に決済される。

The Sandbox の公式は、チームが最近発生した SAND クロスチェーンブリッジの脆弱性事件を確認し、完全に制御していることを発表しました。この事件は Base と BNB Smart Chain（BSC）ネットワークに関係しています。公式によると、今回の事件の影響範囲は限られており、関与するトークンの数は SAND の総供給量の 0.01% 未満です。イーサリアム（Ethereum）と Polygon 上の SAND は影響を受けず、ユーザーのウォレットは侵害されておらず、関連する保有者および流動性提供者は行動を取る必要はありません。報告によると、攻撃者は脆弱性を利用して Base と BSC ネットワーク上で無担保の SAND トークンを鋳造しました。現在、The Sandbox は二つのネットワークの SAND クロスチェーン機能を停止しており、Base と BSC 上の SAND は隔離され、一時的に移動または交換できません。The Sandbox はユーザーに対し、Base および BSC ネットワーク上の SAND を購入、販売、または取引しないように警告しています。これらのネットワーク上の流動性は影響を受けています。チームは、事件前のスナップショットを完了し、影響を受けた流動性プール（LP）ユーザーへの補償プランを策定中であり、脆弱性の影響範囲を引き続き調査しています。今後、完全な事件報告および技術的な振り返りを発表する予定です。

暗号記者のケイト・アーウィンによると、GalaChainは今週の火曜日に資産の異常流出事件が発生し、19.9億枚のGALA（約290万ドル）およびその他のトークンが5つの主要アドレスから新しいウォレットに移転され、GALAは約1時間以内にクロスチェーンでETHに交換されました。そのうち約82%（16.39億枚のGALA）は、GalaのCEO兼共同創設者であるエリック・シャーマイヤーに関連するウォレットからのものであり、そのウォレットからは約50万ドルのその他のトークンも流出しました。事件発生後数時間以内に、Galaの開発者はGitHubに修正コードを提出し、これをGalaChain EIP-712未署名フィールド注入の脆弱性と定義しました。現在、Galaはイーサリアムとソラナのクロスチェーンブリッジを一時停止しており、公式は「メンテナンス中」と述べています。GalaChainおよびそのCEOは、コメントのリクエストにはまだ応じていません。

ZeroDevの創設者であり、以前Offchainに勤務していたDerek Chiangは、Ethlabsに参加することを発表し、リアルタイム証明、ライトクライアント、迅速な確認などのEthereum技術を実際の製品やビジネスシーンに導入することに重点を置くと述べました。彼は、現在多くのEthereumの基盤技術の採用が依然としてその潜在能力に対して明らかに遅れていることを指摘しました。例えば、一部のクロスチェーンブリッジは依然としてマルチシグ検証のL1預金に依存しています。彼は、EthlabsがEthereum技術の市場での実現力となり、理念ではなく技術と製品の優位性を通じて開発者を説得することを望んでいます。

XRP Ledger と Coreum のクロスチェーンブリッジは 8 月 9 日に攻撃を受け、攻撃者は検証ロジックの脆弱性を利用して約 19.99 万枚の XRP を盗み、ブリッジ資産の残高が約 20.04 万枚の XRP から 493.5 枚の XRP に減少しました。この攻撃はプライベートキーの漏洩を伴わず、XRP Ledger プロトコル自体を標的にしたものではありません。攻撃者は入金操作を偽造し、ブリッジシステムがそれを本物の入金として認識するようにし、もう一方のブリッジウォレットから本物の XRP を送信させました。オンチェーンデータによると、攻撃者は 97 分間で 94 件のマルチシグ承認取引を通じて資金移動を完了しました。これらの取引は 28 のリレーノードキーのうち 17 の署名を取得する必要があり、攻撃者はそのためブリッジシステムの検証メカニズムを回避しました。8 月 11 日時点で、Coreum クロスチェーンブリッジはまだ停止状態にあり、Coreum 開発財団は正式な事件報告を発表していません。XRP メインネットおよびユーザーのプライベートキーの安全は影響を受けていません。

跨チェーンブリッジプロトコル Across Protocol は X プラットフォームで "The Bridge Across" に関連する ACX 交換計画の進捗を発表しました。チームは法律顧問と協力して最終障害を処理しており、スケジュールは若干遅れているとのことです。交換ポータルは 8 月末に立ち上がる予定です。この計画は Across が ACX トークンの退出と構造転換を進める一環であり、保有者は交換ポータルを通じて ACX を新しい法人株式に交換するか、償還を選択することができます。Across は、一部の取引所が ACX を上場廃止する可能性があることを指摘しており、これは正常な予想であり、交換計画には影響しません。ユーザーにはトークンを自己管理ウォレットに移動することをお勧めします。ポータルが立ち上がった際に参加できるようにするためです。

Wanchainの公式Xアカウントによると、2026年7月20日にWanchain Bridge Cardanoのクロスチェーンブリッジが攻撃を受け、ハッカーがNIGHTトークンを盗んだとのことです。Wanchainは直ちに攻撃者に対して、8月6日UTC12:00前に盗まれたNIGHTトークンの90%を返還するよう求め、10%をホワイトハット報酬として保持することを許可し、民事責任を追及しないことを約束しました。現在、コミュニティのユーザーから、ハッカーがDEXでNIGHTトークンの交換を完了したとの指摘があり、NIGHTトークンの価格は30%以上下落し、現在の価格は0.0188ドルです。

CertiK Alert の監視によると、VerusCoin のイーサリアムクロスチェーンブリッジでセキュリティ事件が発生し、約 753 万ドルの資産が転送されました。初期分析では、今回の問題はクロスチェーンブリッジが Verus チェーン側の入力が支払われた金額をサポートしているかどうかを十分に検証していないことに関連している可能性があり、今年の 5 月に発生した事件に類似しています。