クロスチェーンのステーブルコインブリッジ「Allbridge Core」のSolana展開がフラッシュローン攻撃を受けた。攻撃者は$112万USDCを借りた後、素早いスワップでブリッジ協議内の為替レートを歪め、裁定で$165万を稼いだ。盗まれた資金はクロスチェーンでイーサリアムに渡され、そしてプライバシー・プールに流入した。これは5月以降第6件目のクロスチェーン・ブリッジ攻撃事案であり、ブリッジ協議の安全上の脆弱性が再びDeFi生態系における致命的な問題となっている。 （前情提要：Axelar クロスチェーン・ブリッジがハッキング！Secret Networkが467万ドル損失） （背景補足：クロスチェーン協議 ChainSwap がハッキングされ、10余りのDeFiトークンが崩壊）
クロスチェーン・ステーブルコインブリッジ「Allbridge Core」は日曜にフラッシュローン攻撃に遭遇した。攻撃者はKamino Financeを利用して112万枚のUSDCを借り、その後、即時のスワップによるUSDC/USDTを介してブリッジ協議内のステーブルコイン_pool_の為替レート・メカニズムを歪め、歪んだ価格で165万ドル相当の流動性を引き上げた。貸付を返済した後の純利益は約53万ドル。
これは5月以降少なくとも第6件目のブリッジ攻撃事案で、Secret NetworkがAxelar経由の橋で467万ドルを失ったこと、ならびにTaikoの170万ドル盗難の直後に続いている。ブリッジ協議は、送信元チェーンに大量の担保トークンをロックするため、ハッカーにとって格好の標的になっている。そしてAllbridgeの“同じような形での再攻撃”（2023年4月にBNB Chainでも同様のフラッシュローン手法で57.3万ドルが攻撃された）から、スマートコントラクトの脆弱性は徹底的に修正されていなかった可能性が示唆される。
オンチェーン分析者の0x_Benavが整理した攻撃手順によると、攻撃者はKamino Financeから112万USDCを借りた後、Allbridgeへ直接送金せず、まずプール内でUSDCとUSDTを素早くスワップしている。Allbridge Coreのステーブルコインプールは即時価格のフィードに依存しており、頻繁なスワップによってシステムの提示する価格が瞬時に実際の為替レートからずれる。攻撃者は、この一時的な“順方向の裁定”の窓を利用して大額の流動性を引き出し、ローン原資を返済した上で差額を保持した。
Allbridge Coreはその後X上で緊急告知を出し、協議全体の運用を一時停止すると発表。さらに、すべての流動性提供者に対し資金を直ちに引き上げるよう呼びかけた。告知ではまた、この裁定の窓を利用した者がいた場合、影響を受けたLPを補償するため資金の返還を検討するよう求めている。しかし攻撃者は盗取資金をSolanaのブリッジからイーサリアムへ移し、プライバシー協議のミキシング・プールに流入させたため、追跡の難易度が大幅に上がった。
クロスチェーン・ブリッジの安全性は、もはやニュースではない。ブリッジ協議は、送信元チェーンで代替できるトークンをロックし、目的チェーンで等価のラップトークンを発行する必要がある。その中間にあるロック・プールには、数億ドル規模の資金が入ることも多く、ハッカーにとって“金庫”のような存在になる。さらに悪いことに、多くのブリッジ協議はロジックが複雑で、配備チェーンも複数にまたがるため、単一のDeFi協議よりも攻撃面がはるかに大きい。
6月、イーサリアムL2のTaikoのブリッジ協議が170万ドルの盗難を受け、ユーザーは緊急で資金を撤退せざるを得なかった。チームは11日間かけ、4段階の復旧計画でようやくブリッジ接続を再開し、さらにユーザーの損失を自費で補填した。もっと早い5月には、Secret NetworkがAxelarのブリッジ上の無限鋳造（無制限に発行できる）脆弱性により467万ドルを失い、Axelarとの接続を緊急で断ち切ったうえで、全生態系をArbitrumへ移行すると発表した。
暗号ニュースアカウントのHITによる迅速な集計によれば、昨年以降のブリッジ攻撃による累計損失は数億ドルに上るという。こうした事案の多くは、同種のフラッシュローンで価格操作を行う攻撃パターンに遡ることができる。つまり、ブリッジ協議に“歪み（レート操作）”の仕組みに脆弱性が存在する限り、同じ攻撃用スクリプトが別の協議でも繰り返し再現されるということだ。
警戒すべきなのは、Allbridgeが初めて狙われたわけではない点だ。2023年4月、この協議のBNB Chainプールでもフラッシュローン攻撃が行われ、損失は57.3万ドル（29万BUSD＋29万USDT）だった。当時の攻撃パターンは、今週の出来事とほぼ同じだった。攻撃者が流動性提供者とスワッパーの両方を同時に演じ、スマートコントラクトの脆弱性を利用してスワップ価格を操作した。
これはつまり、Allbridge Coreが今回Solana展開で攻撃されている可能性があり、同じ修正されていないスマートコントラクトの脆弱性が再び利用されたのではないか、ということだ。クロスチェーン・ブリッジの攻撃者は、古い未修正の脆弱性と新しいデプロイを組み合わせることを好む。多チェーンへ拡張する際、開発者はセキュリティのパッチ（security patch）を見落としがちで、ハッカーはデプロイ事例を逐一スキャンする。
134.49K 人気度
786.31K 人気度
72.56K 人気度
284.98K 人気度
1.13M 人気度
クロスチェーンブリッジまたまた事件！Allbridge Coreがフラッシュローン攻撃を受け、165万ドルを流出
クロスチェーンのステーブルコインブリッジ「Allbridge Core」のSolana展開がフラッシュローン攻撃を受けた。攻撃者は$112万USDCを借りた後、素早いスワップでブリッジ協議内の為替レートを歪め、裁定で$165万を稼いだ。盗まれた資金はクロスチェーンでイーサリアムに渡され、そしてプライバシー・プールに流入した。これは5月以降第6件目のクロスチェーン・ブリッジ攻撃事案であり、ブリッジ協議の安全上の脆弱性が再びDeFi生態系における致命的な問題となっている。
（前情提要：Axelar クロスチェーン・ブリッジがハッキング！Secret Networkが467万ドル損失）
（背景補足：クロスチェーン協議 ChainSwap がハッキングされ、10余りのDeFiトークンが崩壊）
クロスチェーン・ステーブルコインブリッジ「Allbridge Core」は日曜にフラッシュローン攻撃に遭遇した。攻撃者はKamino Financeを利用して112万枚のUSDCを借り、その後、即時のスワップによるUSDC/USDTを介してブリッジ協議内のステーブルコイン_pool_の為替レート・メカニズムを歪め、歪んだ価格で165万ドル相当の流動性を引き上げた。貸付を返済した後の純利益は約53万ドル。
これは5月以降少なくとも第6件目のブリッジ攻撃事案で、Secret NetworkがAxelar経由の橋で467万ドルを失ったこと、ならびにTaikoの170万ドル盗難の直後に続いている。ブリッジ協議は、送信元チェーンに大量の担保トークンをロックするため、ハッカーにとって格好の標的になっている。そしてAllbridgeの“同じような形での再攻撃”（2023年4月にBNB Chainでも同様のフラッシュローン手法で57.3万ドルが攻撃された）から、スマートコントラクトの脆弱性は徹底的に修正されていなかった可能性が示唆される。
オンチェーン分析者の0x_Benavが整理した攻撃手順によると、攻撃者はKamino Financeから112万USDCを借りた後、Allbridgeへ直接送金せず、まずプール内でUSDCとUSDTを素早くスワップしている。Allbridge Coreのステーブルコインプールは即時価格のフィードに依存しており、頻繁なスワップによってシステムの提示する価格が瞬時に実際の為替レートからずれる。攻撃者は、この一時的な“順方向の裁定”の窓を利用して大額の流動性を引き出し、ローン原資を返済した上で差額を保持した。
Allbridge Coreはその後X上で緊急告知を出し、協議全体の運用を一時停止すると発表。さらに、すべての流動性提供者に対し資金を直ちに引き上げるよう呼びかけた。告知ではまた、この裁定の窓を利用した者がいた場合、影響を受けたLPを補償するため資金の返還を検討するよう求めている。しかし攻撃者は盗取資金をSolanaのブリッジからイーサリアムへ移し、プライバシー協議のミキシング・プールに流入させたため、追跡の難易度が大幅に上がった。
ブリッジ協議：繰り返し狙われる脆弱な部分
クロスチェーン・ブリッジの安全性は、もはやニュースではない。ブリッジ協議は、送信元チェーンで代替できるトークンをロックし、目的チェーンで等価のラップトークンを発行する必要がある。その中間にあるロック・プールには、数億ドル規模の資金が入ることも多く、ハッカーにとって“金庫”のような存在になる。さらに悪いことに、多くのブリッジ協議はロジックが複雑で、配備チェーンも複数にまたがるため、単一のDeFi協議よりも攻撃面がはるかに大きい。
6月、イーサリアムL2のTaikoのブリッジ協議が170万ドルの盗難を受け、ユーザーは緊急で資金を撤退せざるを得なかった。チームは11日間かけ、4段階の復旧計画でようやくブリッジ接続を再開し、さらにユーザーの損失を自費で補填した。もっと早い5月には、Secret NetworkがAxelarのブリッジ上の無限鋳造（無制限に発行できる）脆弱性により467万ドルを失い、Axelarとの接続を緊急で断ち切ったうえで、全生態系をArbitrumへ移行すると発表した。
暗号ニュースアカウントのHITによる迅速な集計によれば、昨年以降のブリッジ攻撃による累計損失は数億ドルに上るという。こうした事案の多くは、同種のフラッシュローンで価格操作を行う攻撃パターンに遡ることができる。つまり、ブリッジ協議に“歪み（レート操作）”の仕組みに脆弱性が存在する限り、同じ攻撃用スクリプトが別の協議でも繰り返し再現されるということだ。
Allbridgeの“昔からの癖”：2023年にもフラッシュローン攻撃を受けていた
警戒すべきなのは、Allbridgeが初めて狙われたわけではない点だ。2023年4月、この協議のBNB Chainプールでもフラッシュローン攻撃が行われ、損失は57.3万ドル（29万BUSD＋29万USDT）だった。当時の攻撃パターンは、今週の出来事とほぼ同じだった。攻撃者が流動性提供者とスワッパーの両方を同時に演じ、スマートコントラクトの脆弱性を利用してスワップ価格を操作した。
これはつまり、Allbridge Coreが今回Solana展開で攻撃されている可能性があり、同じ修正されていないスマートコントラクトの脆弱性が再び利用されたのではないか、ということだ。クロスチェーン・ブリッジの攻撃者は、古い未修正の脆弱性と新しいデプロイを組み合わせることを好む。多チェーンへ拡張する際、開発者はセキュリティのパッチ（security patch）を見落としがちで、ハッカーはデプロイ事例を逐一スキャンする。