AFX Trade、ブリッジ悪用で2,415万ドル流出　攻撃者に"30%"返還報奨を提示

Arbitrum上で稼働する分散型パーペチュアル取引所AFX Tradeは7月22日、ブリッジを突かれる形で2,415万ドル相当の資金を失った。攻撃者は同社が運用するブリッジのバリデータ署名鍵を侵害し、プロトコルからUSDCを不正に引き出した上で、全額をEthereumへブリッジ。続いて1トークン当たり平均約1,937ドルで約12,467 ETHへ交換したという。 AFX Tradeは対応として、盗難資金の"30%"（約720万ドル）を報奨として攻撃者が保持することを認める一方、残る"70%"の返還を求める提案を公開した。 今回狙われたのはArbitrumのネイティブブリッジではなく、AFX Tradeが第三者ブリッジとして運用していた仕組みだ。Arbitrum自体への侵害は確認されておらず、基盤となるブリッジ機構は影響を受けていない。問題はAFXがその上に構築・管理していたレイヤーにあり、バリデータ署名鍵を握られたことで、攻撃者は制限なく資金移動を実行できた。 同様の手口は過去にも見られる。2026年5月にはVerus'Ethereumブリッジが近い方法で資金を抜かれた。セキュリティ企業Blockaidは、AFX Tradeの件を"Hackers Day"と呼ぶ一連の攻撃群の一部と位置付け、2026年7月のハッキング被害総額は約9,700万ドルに達したとしている。 攻撃者に"30%"の報奨を提示する手法は、暗号資産の侵害事案で定着しつつある。狙いは明快で、全損より"70%"でも回収した方が合理的という判断に加え、オンチェーン分析の高度化で巨額資金の洗浄が難しくなり、最終的に特定されるリスクが高まっていることが背景にある。 ブリッジはここ数年、DeFiで最も収益性の高い攻撃対象とされてきた。大量のロック資産を抱えるうえ、バリデータ集合やマルチシグといった設計が、障害点を集中させやすい構造にあるためだ。今回も、L2ネットワーク本体ではなく、プロトコル側が運用する第三者ブリッジが弱点となった。Blockaidが集計した2026年7月の被害総額が約9,700万ドルに膨らんでいることは、問題が改善するどころか深刻化している可能性を示す。 投資家・トレーダーにとっては、L2上のパーペチュアルDEXを利用する際、取引画面の背後にあるインフラまで点検する必要があるという教訓になる。パーペチュアルエンジンのスマートコントラクトが堅牢でも、依存するブリッジが中央集権的なバリデータ鍵に支えられていれば、鍵が侵害された時点で安全性は失われる。