2026年7月、ハッカーは2つの暗号通貨ブリッジ、AFX TradeとVerusCoinから合計3100万ドルを盗みました。このレポートでは、両方の攻撃の詳細と、盗まれた資金の追跡について説明します。
7月末には、ブリッジを標的とした2つの異なる攻撃が発生し、暗号資産プラットフォームから3,100万ドル以上が盗まれました。7月22日、Arbitrum上に構築されたプラットフォームであるAFX Tradeは、2415万ドルのUSDCを失いました。
EthereumブリッジのVerusCoinは、関連するが別の攻撃により約754万ドルを損失しました。
セキュリティ会社Blockaidは、両方のハッキング事件を発生と同時に迅速に特定しました。 これらの攻撃により、2026年のブリッジの脆弱性を悪用した件数は増加し、異なるブロックチェーンをつなぐシステムの安全性に対する懸念が高まっています。
AFX TradeのArbitrumブリッジから2400万ドルが流出しました。
Blockaidは7月22日21時30分UTCでAFXの脆弱性を検出しました。
暗号資産投資家として、AFXのブリッジから資金を引き出すセキュリティシステムに誰かが侵入したと聞いて、非常に心配しました。取引を承認する人々から、合計5つの十分なデジタル署名を入手したのです。これにより、通常のセキュリティチェックを回避して、許可なく資金を引き出すことができました。これらのブリッジが非常に安全であることがいかに重要であるかを思い起こさせる恐ろしい出来事です。
Blockaidは、@arbitrum上に構築されたプロトコルである@AFX_XYZに影響を与えるセキュリティ侵害を2026年7月22日午後9時30分UTCに特定しました。この問題はAFXが運営する特定のブリッジを対象としており、これまでに約2415万USDCが持ち去られました。
私たちのチームは、…の素晴らしいチームと協力しています。
— Blockaid (@blockaid_) 2026年7月22日
盗まれたUSDCは最初にイーサリアムウォレットに転送され、その後攻撃者はそれを12,467.5 ETHと交換したと、PeckShieldAlertによるとのことです。資金は現在、ウォレット0x6276…ebACに保管されています。
研究者としてこの状況を追っている私は、AFXがセキュリティ侵害を発見した際に直ちにブリッジ運用を停止したことを報告できます。幸いなことに、同社は主要な取引システム、メインネット自体、およびより広範なArbitrumネットワークが依然として正常に機能しており、影響を受けていないことを確認しました。
Arbitrum FoundationのSteven Goldfederは、公式のArbitrumブリッジがエクスプロイトの影響を受けなかったことを確認しました。彼は、問題のあるトランザクションは別の外部サービスから発生したと説明しました。
AFX は後ほど確認し、盗まれた資金は攻撃者のアドレスに残っていることを明らかにしました。
セキュリティの問題が発見された際、SlowMistは、不審な金融活動を監視する取引所や協力者からなるCrypto Defense Allianceに警告しました。以前、AFXのブリッジのコードをレビューしたZellicも、調査に協力しました。
AFX は、事件の進展に応じて、検証済みの最新情報を共有し続けると述べました。
VerusCoin Bridge が再び攻撃を受け、750万ドルの損失が発生しました。
Blockaid は、VerusCoin Ethereum Bridge を標的とする 2 番目のエクスプロイトも警告しました。
攻撃者は、ブリッジが受信したトランザクションを処理する方法を悪用し、不正に支払いを発動させて、$754万相当の暗号資産を奪取しました。盗まれた資金には、ETH, tBTC, USDC, USDT, EURC, MKR, scrvUSDが含まれており、アドレス末尾がC142D54のウォレットに送られました。
Blockaidは、VerusCoin Ethereum Bridgeに影響を与えるセキュリティ侵害を特定しました。攻撃者は脆弱性を悪用し、ETH、tBTC、USDC、USDT、EURC、MKR、scrvUSDなど、約754万ドル相当の様々な暗号通貨をブリッジのリザーブから引き出しました。詳細は以下のスレッドで確認できます。
— Blockaid (@blockaid_) July 23, 2026
Blockaidは、今回のハッキングが、同じブリッジを標的とした2026年5月の攻撃と驚くほど類似していることを観察しました。両方のケースにおいて、攻撃者は同じ脆弱性を同じ方法で悪用しました。
Blockaidは、両方の攻撃が同じ種類のソフトウェアの欠陥を利用したと報告しました。しかし、7月の攻撃は別の人によって行われ、新しいデジタルウォレットを使用しました。
PeckShieldAlertは、攻撃後、ハッカーが盗まれた資金をTornado Cashを使ってすぐに混合し始めたことに気づきました。本日現在、VerusCoinは7月の事件に関する公式情報を一切発表していません。
比較すると、5月のハッキングでは1158万ドルの損失が発生しました。これは、ブリッジ上で異なるネットワーク間のトランザクション処理方法が悪用された場合に発生したものであり、攻撃者が実行するのに約10ドルしかかかりませんでした。
こちらもご覧ください:
Wanchain Cardano ブリッジが攻撃を受け、財務庫から 515M NIGHT が流出しました。
セキュリティ企業が、ブリッジの悪用が増加するなか対応する。
セキュリティ企業は、ブリッジの悪用が増加するなか対応する。
両方の事件は、ブリッジがクロスチェーン送金を検証する方法における、繰り返し発生する弱点を浮き彫りにしています。
最近のVerusCoinハックは、システムがエクスポート処理中に転送されているデータの量を適切に検証しなかったために発生しました。Blockaidによると、この種の欠陥は昨年WormholeとNomadの侵害で見つかったものと類似しています。
セキュリティチームは、両方の事件で盗まれた資金を迅速に追跡するために対応しました。SlowMist、Zellic、PeckShieldAlertのような企業は、ウォレットのアクティビティを監視し、攻撃の具体的な内容を検証することで支援しました。
AFXとVerusCoinはいずれも、ブリッジングサービスが完全に機能するようになる時期をまだ発表していません。両方のケースにおいて、盗まれた資金がどこへ行ったのかの調査は現在も進行中です。
2026-07-23 17:05