Arbitrum上のDEX「AFX Trade」、USDC 2,415万ドル流出　被害額の70%返還で720万ドルの"ホワイトハット報奨金"提示

Arbitrum上で運営される分散型取引所（DEX）のAFX Tradeは、ブリッジ攻撃によりUSDC約2,415万ドルを失った。AFXは流出資金の返還に向け、攻撃者に対し、盗難額の30%に当たる約720万ドルを"報奨金"として認め、残る70%の返還を求める提案を公表した。提案はAFXの成長責任者Ken Cが公開の場で提示した。 攻撃は2026年7月22日に発生。標的はAFX TradeのスマートコントラクトやArbitrumの基盤ではなく、カストディ用ブリッジだった。攻撃者はオフチェーンのバリデータ署名鍵を侵害し、ブリッジからUSDC約2,415万ドルを流出させた。その後、資金をEthereumへ移し、当時1ETHあたり約1,937ドルで推移していた中、約12,467 ETHへ交換したという。 AFXは侵害を検知後、直ちにブリッジを停止。セキュリティ企業のBlockaidとPeckShieldが攻撃を確認し、Arbitrumのネイティブブリッジには影響がなかったと指摘した。 今回の件は単発ではない。7月22日から23日にかけて複数のプラットフォームを狙った攻撃が集中し、合計損失は3,500万ドル超に達した。BlockaidおよびPeckShieldのデータによると、2026年7月のハッキング関連損失は総額で約9,700万ドルに上る。 AFX Tradeの事例で注目すべきは、スマートコントラクトの欠陥が原因ではなかった点だ。コントラクトは設計通りに動作しており、弱点はオフチェーンのバリデータ鍵管理にあった。スマートコントラクト監査はセキュリティの一層しかカバーしない。鍵管理の運用、バリデータの選定、ブリッジ設計といった領域は利用者の目が届きにくい一方、攻撃面（アタックサーフェス）として大きいことが改めて浮き彫りになった。