クロスチェーンブリッジ

Decrypt の報道によると、イスラエル国家検察官事務所は木曜日に、イスラエルとロシアの二重国籍を持つアレクサンダー・ブロック（本名アレクサンダー・グレヴィッチ）をアメリカに引き渡したと発表した。彼は2022年にクロスチェーンブリッジのNomadから約280万ドルの資産を盗んだとされている。ブロックはイスラエルでの複数回の控訴に失敗した後、当日未明にアメリカ側に引き渡された。彼は2025年5月にロシアに向かう準備をしていた際にテルアビブのベン・グリオン空港で逮捕された。彼は最近姓を変更し、新しい名前でパスポートを取得していた。イスラエル最高裁判所の判決書に記載されたアメリカ側の引き渡し要求によると、カリフォルニア北区連邦大陪審は2023年8月にブロックに対して4件のコンピュータ詐欺、1件の運搬物の窃盗、3件のマネーロンダリングの告発を行った。アメリカ側は2024年12月に正式に引き渡しを求めた。検察は、Nomadのスマートコントラクトが2022年6月のソフトウェア更新後に脆弱性を残し、ユーザーが別のチェーンで同等の資産をロックすることなくトークンを取得できるようになったと述べている。ブロックは「Bitlik」というユーザー名で最初に6件のテスト送金を行い、その後2022年8月1日頃に4件の主要な送金を完了し、280万ドル以上の価値のトークンを取得し、複数のウォレットを通じて資金の出所を隠すために他の暗号通貨に交換した。アメリカ側の告発によると、彼の操作はその脆弱性を露呈させ、他のユーザーはNomadが管理するウォレットから1.86億ドル以上のユーザー資金をほぼ全て引き出した。数日後、ブロックは一部のトークンを返還し、Telegramを通じてNomadの幹部に連絡を取り、脆弱性報奨金を条件に残りの資産を返還する提案をしたが、その後連絡を断ち、Nomadはアメリカの法執行機関に通報した。ブロックは関連取引がNomadの自動化システム自体が提供する機能を使用しているため、マネーロンダリングには該当しないと主張した。イスラエル最高裁判所はこの2つの主張を却下し、たとえソフトウェアが技術的にその操作を許可していたとしても、プログラミングの脆弱性を利用することはコンピュータシステムへの不法侵入を構成し、公開されている取引が必ずしもウォレットの背後にいる実際の管理者を特定できるわけではないと認定した。2025年12月、アメリカ連邦取引委員会はNomadの運営会社Illusory Systemsに対して和解案を提出し、このクロスチェーンブリッジがテスト不足のソフトウェア更新により1.86億ドルの損失を被ったと指摘し、和解要求として未補償のユーザーに資金を返還するよう求めた。Nomadは攻撃発生後数日内に約2200万ドルを回収した。

BNB Chainは、Binanceを支持し、昨晩以来継続して安全事件を処理している関連チームを支援することを発表し、BNB Smart Chain、opBNB、BNB GreenfieldおよびBNB Chainクロスチェーンブリッジは今回の事件の影響を受けていないことを確認しました。現在、すべてのネットワークは正常に稼働しており、BNB Chain上の資金は安全です。BNB Chainはまた、Binanceチームがこの事件を処理することに十分な信頼を寄せており、エコシステムのパートナーと協力して安全対策を強化し、業界の信頼を維持していくことを続けると述べました。

ブロックチェーンセキュリティ機関 GoPlus の分析によると、10月29日、攻撃者は単一の取引を通じて、アグリゲート Layer2 ネットワーク zkLink Nova のイーサリアム L1 ホスティング契約から 22.43 ETH と 11 種類の ERC-20 トークンを引き出し、攻撃発生時の価格で計算した総価値は約 79.7 万ドルに達しました。脆弱性は、Arbitrator 契約の claimMessage 関数が一時的に保存されたメッセージハッシュをクリアしなかったことに起因し、検証済みのメッセージが再利用可能となりました。攻撃者は公開呼び出し可能な認可リレー SyncL2TxHashRelayer を利用して L2 バッチルートを偽造し、虚偽の引き出しを実行しました。zkLink の公式は攻撃を確認し、Nova ネットワークのブロック生成を一時停止し、影響を受けた契約の緊急修正を行い、引き出しチャネルを一時的に閉鎖しました。今後、全面的なセキュリティチェックが行われる予定です。

聚合 Rollup 基础设施 zkLink 発表によると、Ethereum と Optimism 上の Arbitrator コントラクトに対する zkLink Nova の Layer 3 ネットワークへの継続的な攻撃が確認されました。zkLink は、技術チームが緊急に事態を制御し、さらなる損失を防ぐために取り組んでいると述べ、今後コミュニティに進捗を更新するとしています。zkLink は、関係者に対し、zkLink Nova の各チェーンコントラクトのさらなる利用を停止し、影響を受けた資金を返還するよう呼びかけています。プロジェクト側は、相手が協力して返還する場合、20% のホワイトハット報酬を提供する準備があると述べ、資金が返還された後は追及しないとしています。セキュリティ機関 Blockaid は以前、攻撃者が公開リレーを通じて Ethereum に偽のバッチルートを注入し、その後 zkLink Nova の L1 ホスティングコントラクトから ETH と ERC-20 の引き出しを完了したと監視していました。当時、L1 ETH ホスティングと ERC-20 ブリッジの合計損失は約 78.6 万ドルであり、攻撃は現在も続いています。

Blockaidは2つの攻撃者アドレス、サンプル攻撃トランザクション、被害契約およびクロスチェーンブリッジアドレスを発表しました。そのうちの1つの攻撃者アドレス（0xaCA0...5718）の現在の残高は約1.1万ドルです。

Cosmos エコシステムの分散型取引所 Osmosis は、ガバナンス提案を通じて Alloyed BTC 資産 allBTC の準備サポートを復元しました。以前、Nomic クロスチェーンブリッジは 6 月 25 日にビットコインの準備がない状態で 40.650602 枚の nBTC を鋳造し、そのうち 39.839746 枚が allBTC の担保として計上され、allBTC のサポート率が 63.97% に低下しました。9 月 7 日に Nomic が運営を停止した後、Osmosis のバリデーターは緊急アップグレードを通じて攻撃者が保有する 22.650608 枚の allBTC を凍結しました。通過した提案に基づき、Osmosis は凍結された攻撃者の資産を流動性子 DAO に移転し、コミュニティプールが保有する 12.4838 枚の allBTC および元々予定されていた USDC 流動性配備から解放された約 4.7 枚の BTC を利用して、約 39.84 枚の BTC のギャップを埋めることになります。今後の v32 ソフトウェアアップグレードでは、汚染された nBTC を無効としてマークし、allBTC 合金から撤回して破棄し、allBTC 保有者が全額サポートを回復できるようにします。提案によると、約 18 枚の BTC が Osmosis から移転され、Tornado Cash を通じてマネーロンダリングされており、直接回収することはできません。Osmosis は残りの資金を追跡し、allBTC の残高がゼロになり、nBTC が合金から除去された後に allBTC の出入機能を復元することを示しています。

Zilliqaは、最近のセキュリティ事件の調査がまだ進行中であることを示しており、影響を受けたのはX-Bridgeおよび一部の流動性プールで使用されているZRC2プロキシコントラクトで、zUSDT、SEED、kUSD、Zogeなどのトークンが関与しています。Zilliqaは、ネイティブのZILおよびZilliqa EVMネットワークは影響を受けていないと強調しており、X-Bridgeは引き続き一時停止され、ユーザーはこのクロスチェーンブリッジおよび影響を受けた流動性プールを使用しないようにしてください。

Iron Fishは、チームがBaseネットワーク上のwIRONの異常発行状況を調査しており、クロスチェーンブリッジサービスプロバイダーのChainPortに緊急審査を依頼したことを示しています。今後の通知があるまで、ユーザーはBase上のwIRONの購入や関連するクロスチェーンブリッジの使用を避けるべきです。Iron Fishは、現在wIRONが1:1の資産サポートを受けることを保証できないと警告しており、さらなる事実を確認した後に進展を発表することを示しています。

イーサリアム Layer 2 ネットワーク Blast は、出金インターフェースの締切に達しましたが、約 4000 万ドルの資産がクロスチェーンブリッジに滞留しています。公式は契約レベルの退出ガイドラインを発表しましたが、出金には証明書の提出が必要で、1 日待つ必要があります。USDB 保有者については、DAI の申請を別途行う必要があります。

Cysicはクロスチェーンブリッジのセキュリティ事件の進展を発表し、10月末までに財団の準備金から720万枚のCYSを焼却する計画を示しました。これは、無許可の増発による影響を相殺し、トークンの供給量を再びそのトークン経済モデルに適合させるためです。

クロスチェーン取引アプリ fomo は、最近、自社で構築した内部クロスチェーンブリッジ（fomo bridge）とルーターを正式に一般公開したと発表しました。公式データによると、自社システムを統合した後、クロスチェーン取引の確認時間は1秒未満であり、取引実行速度は市場の既存ソリューションよりも50%速いとのことです。fomo は、内部ルーターにより、実行価格を平均0.5%最適化でき、最もパフォーマンスが悪い10%の取引を2%以上最適化することができると述べています。現在、fomo のクロスチェーン取引量は他の取引アプリの10倍以上です。クロスチェーンブリッジとルーターシステムの両方を持つ大規模なクロスチェーン取引アプリとして、fomo は価格設定、インデックス、ブリッジ、ルーティングなどの取引全体のプロセスに対するコントロールを獲得し、各プロセスの遅延を削減することで、極端な市場状況下でもユーザーが迅速かつ低コストで取引を体験できるようにしています。

GMGNの共同創設者Hazeは、GMGNが独自に開発したクロスチェーンブリッジが現在、小規模なテストを行っており、取引の迅速性、安全性、安定性を重点的に保証していると発表しました。Hazeは、この機能が稼働した後、ユーザーはGMGNアプリ内でUSDCを使用して複数のブロックチェーン上のトークンを直接購入できるようになると述べました。

meme コイン発行プラットフォーム Pump.fun の共同創設者兼最高執行責任者 Alon は、チームが以前は長期間ランチャーに焦点を当てており、約 5 ヶ月前からクロスチェーン交換をサポートし始めたと述べました。彼は当時使用していたクロスチェーンサービスプロバイダー Relay の調査後、Relay 上でのクロスチェーン購入の 9 分の 1 以上にエラーが発生していることを指摘し、典型的な購入の着地時間は約 4 秒、10 分の 1 は 7 秒を超え、ユーザーが得られるトークンの数は通常期待される水準を下回っていると述べました。彼はまた、ソーシャルトレーディングアプリ FOMO が現在も Relay に依存していると述べました。Alon は、自社開発のクロスチェーンブリッジ Pump Bridge が全ての Pump.fun アプリユーザーに開放されたと述べました。Relay と比較して、購入の着地速度は 2 倍に向上し、エラー率は 92% 減少し、9 分の 1 以上から 1% 未満に低下しました。同等の資金で平均してより多くのトークンを得られ、現在は追加のクロスチェーン手数料も発生しません。彼は、光速とターゲットチェーンの確認時間に制限され、購入の理論上の最速着地時間は約 1.1 秒であり、チームはまだ残りのギャップを縮小していると述べました。上記の比較は 9 月 28 日から 10 月 7 日にかけて Pump.fun モバイルアプリで行われたランダムテストに基づいており、Robinhood、BSC、Base、Arc、Ink をカバーし、イーサリアムは含まれておらず、416,669 件の取引結果が記録されました。そのうち 383,326 件はクリックから成功の通知までの時間を統計し、さらに 35,333 件の 500 ドル未満の完了した USDC 購入が取引の比較に使用されました。Alon はまた、プラットフォーム手数料が 0.45% であり、Callout 報酬は少なくとも毎日 30 万ドル、2 ヶ月で合計約 2000 万ドルであり、プラットフォームは手数料を保持しないと述べました。

ILITYは10月17日にXプラットフォームで発表し、ILITY Networkでセキュリティ事件が発生したため、ILIT 跨链桥を一時的に閉鎖し、法執行機関、暗号学的証拠専門家、投資家と協力して調査を行っていると述べた。損失額や攻撃の詳細はまだ公表されていない。オンチェーンアナリストのSpecterは、あるウォレットが約3.57万枚のZEC（当時の価値は約4100万ドル）をプライバシープールから転送し、その後NEAR Intentsおよび複数のアドレスを経由してビットコインとイーサリアムネットワークに送信されたことを観察したと述べた。彼の追跡によると、関連アドレスはILITY 跨链桥と関連があるとされ、約410万枚のILYトークンがその橋から流出したとされている。Zcashのプライバシー特性により、このZECが盗まれた資金に属するかどうか、またそれがILITY事件との正確な関係については、現在のところ確認されていない。

去中心化計算ネットワーク Cysic は X プラットフォームでイベント報告を発表し、そのクロスチェーンブリッジが土曜日に攻撃を受け、攻撃者が処理の脆弱性を利用して BNB Smart Chain 上で 1000 万枚の CYS を無許可で鋳造したことを報告しました。現在、そのクロスチェーンブリッジは停止されています。初期調査の結果、攻撃者はそのクロスチェーンブリッジを支えるデータベースに無許可でアクセスしたことが示されています。報告によると、この鋳造は UTC 時間 12:31:38 に発生し、Cysic は 13:47:52 にその受取アドレスをトークン契約のブラックリストに追加しました。その時、そのアドレスは約 280 万枚の CYS を保持しており、送金は制限されていました。Cysic は、この事件はクロスチェーンブリッジのメッセージ処理と鋳造の段階に限られており、メインネットや他の運営システムには影響を与えず、ユーザーのウォレットに既にある CYS や他の資産が盗まれたり無許可で移転されたりすることはなかったと述べています。Cysic は、鋳造数量自体が最終的なドル損失を特定するものではなく、関連するトークンの送金、交換および実際の損失はまだ確認中であると強調しています。会社はセキュリティ機関を雇用し、現在の調査段階が終了した後に続報を発表する予定です。CYS は Cysic ネットワーク内のユーザー、計算力提供者、ガバナンス参加者および貢献者のインセンティブを調整するために使用されます。

公式発表によると、Payyは9月24日のクロスチェーンブリッジ契約の盗難事件に対して、影響を受けたユーザーの賠償プロセスを開始することを発表しました。賠償申請の受付期間は30日です。適切な賠償は、イーサリアムネットワーク上のUSDC形式で行われます。同時に、Payy Walletは現在一時停止中であり、賠償受付期間終了後に完全に停止されます。

Layer 2 ネットワーク Blast は、現在のネットワーク維持コストが L2 の収益を超えているため、運営を停止することを発表しました。チームは、経済的に持続可能な運営を実現する信頼できる道が存在しないと考えています。Blast は、すべてのユーザーに対して、チェーン上の資産および Blast PWA の残高をイーサリアムメインネットに引き出すことを推奨しており、引き出し待機時間を 24 時間に短縮する計画です。ただし、チームはまず Blast が保有する Lido 資産の引き出しを処理し、約 1 週間かかると予想しています。この期間中、引き出し機能は一時的に利用できなくなります。ユーザーは 10 月 26 日までに Blast の通常インターフェースを通じて引き出しを完了できます。その後も資産は引き出すことができますが、イーサリアム L1 上の Blast Bridge コントラクトと直接やり取りする必要があります。チームは締切前に具体的な操作説明を発表します。

予言機ネットワーク Chainlink は月曜日にクロスチェーン相互運用プロトコル CCIP 2 を発表し、その通信およびクロスチェーンブリッジインフラストラクチャに重大なアップグレードを行いました。新しいバージョンでは、企業が Chainlink のデフォルトの 16 の独立したノードオペレーター検証ネットワークの上に、自ら安全な検証チェックを追加することが可能になり、企業は自社の検証者を運営するか、Infosys、Nethermind などの外部サービスプロバイダーを雇うことができます。Chainlink は、ユーザーが「クロスチェーンセキュリティインフラストラクチャの専門家」に強制されるべきではないと述べています。今回のアップグレードは、今年の 4 月に Kelp DAO がハッカー攻撃を受けてから約 5 ヶ月後のことです。攻撃者は北朝鮮の Lazarus 組織に関連しているとされ、Kelp クロスチェーンブリッジが依存している単一の検証者を欺くことによって、約 2.92 億ドルの rsETH を盗みました。このクロスチェーンブリッジは LayerZero に基づいて運営されています。LayerZero は責任を Kelp が単一の検証者のみを使用していたことに帰していますが、Kelp は LayerZero のスタッフがその設定を確認し、異議を唱えなかったと述べています。Kelp はその後、rsETH を Chainlink に移行することを発表しました。アップグレードは同時に Chainlink が以前に大々的に宣伝していた保証メカニズムを調整し、そのリスク管理ネットワークはもはや独立した再確認ノードとして機能しなくなり、このような独立したチェックはオプションの検証者によって提供されることになります。これは、検証者を追加していないユーザーが現在、1 つの検証ネットワークにのみ依存していることを意味し、以前は 2 つでした。既存の Chainlink ユーザーは自動的に新しいバージョンに移行されましたが、会社は新しい検証者を使用する機関をまだ発表しておらず、Aave と Maple がこのアップグレードの他の機能を採用し始めたことのみを示しています。

DyorSwap の公式発表によると、チームが以前に特定したいわゆる「GIWA メインネット」は、実際には詐欺師によって設立された偽のチェーンであるとのことです。この偽のネットワークは正しい GIWA チェーン ID（9134）を使用しており、初期検証段階では合法に見えました。チームはまた、関連するコミュニティ内でいくつかの疑わしいメッセージや個人を特定しており、これらが今回の事件に関連している可能性があります。発表によると、この詐欺的なクロスチェーンブリッジによって重大な損失が発生したとのことです。DyorSwap は、直ちに三つの措置を講じると述べています。一つ目は、専門のセキュリティチームに連絡し、さらなるオンチェーン追跡を行い、関与するアドレス、取引、資金の流れを調査することです。二つ目は、すべての関連証拠を保存すること、これにはチャット記録、RPC 情報、クロスチェーンブリッジのアドレスおよびオンチェーン取引が含まれます。三つ目は、国庫資金を使用して影響を受けたユーザーに補償を準備することです。資格基準、損失確認プロセス、補償範囲および詳細な計画は、調査および確認プロセスが完了した後に発表される予定です。DyorSwap は、別途通知があるまで、ユーザーは非公式の GIWA メインネット RPC、クロスチェーンブリッジまたは契約を使用しないように、また、関連するアドレスに資金を送信しないようにお願いしています。公式は今回の事件で影響を受けたすべてのユーザーに深くお詫び申し上げており、今後の更新をできるだけ早く発表することを約束しています。

KelpDAO は X プラットフォームで、LayerZero およびその共同創設者 Bryan Pellegrino に対して訴訟を提起し、今年初めの rsETH クロスチェーンブリッジ攻撃事件について責任を追及しています。訴状では、LayerZero がその技術の固有の弱点とリスクを十分に開示していないこと、セキュリティインフラが侵害されるのを防げなかったこと、LayerZero が Kelp のデプロイと設定を文書でレビューし承認していたことが主張されています。公式の発表によると、LayerZero は最近、責任を自らに帰属させることを公表しました。この攻撃事件以降、チームはユーザー資産の安全を確保するために行動を起こし、rsETH のクロスチェーンブリッジをより安全なクロスチェーン標準に移行しました。LayerZero の共同創設者兼 CEO の Bryan Pellegrino はツイートで、KelpDAO の関連主張は根拠に欠けるとし、バンクーバーで応訴し反論する意向を示しました。以前、LayerZero は事故報告を発表し、2026 年 4 月 18 日に LayerZero に基づいて構築された KelpDAO rsETH クロスチェーンブリッジが攻撃を受け、約 116,500 rsETH、約 2.92 億ドルの損失が発生したことを示しました。