9月24日、暗号資産関連の3プロジェクトが相次いで攻撃を受け、Payy Network、Duelbits、Meter Networkで合計1,100万ドル超の被害が発生した。いずれも手口は異なり、ブリッジ、ホットウォレット、トークン発行管理など、暗号インフラの複数レイヤーに潜むリスクが改めて浮き彫りとなった。
主なポイント
- Payy NetworkはEthereumブリッジの資金が抜き取られ、約180万ドルを喪失。Duelbitsの被害額は最終的に約700万ドルに達した。
- Meterでは担保のない資産が約230万ドル分不正にミントされ、一部がPancakeSwap経由で売却された。
- ブリッジ、ホットウォレット、トークン検証システムなど、暗号インフラ全般にまたがるリスクが露呈した。
Payy、Duelbitsへの攻撃
オンチェーン型給与・トレジャリープラットフォームのPayy Networkは、Ethereum (ETH) ブリッジへの攻撃を受け、ネットワークを停止 した。オンチェーン分析者のSpecterは、不審なブリッジ送金を追跡し、攻撃者が資金調達にRailgunを用いたうえで、約180万ドル分のUSD Coin (USDC) をEthereumにスワップしたと指摘。Payy側は、抜き取られた資産はPayy NetworkおよびPayy Walletユーザーのノンカストディアル預かり分だったと説明している。
その後、オンラインカジノのDuelbitsにも攻撃が波及。ブロックチェーン監視企業PeckShieldは当初、被害額を約430万ドルと推計したが、SpecterがBitcoin (BTC) やSolana (SOL) 上の追加アドレスの流出を特定し、規模は拡大。Duelbitsの共同創業者は最終的な被害額を約700万ドルとしつつ、「ユーザー資金は安全だ」とコメントした。市場では、運営側のホットウォレットあるいは関連秘密鍵の侵害があったとの見方が広がっている。
一方、Meterで起きたインシデントは仕組みが異なる。セキュリティ企業Blockaidによれば、攻撃者はブリッジ機能「Meter Passport」を悪用し、裏付け資産のないトークンを約230万ドル分ミント。その一部をPancakeSwapで売却した。この過程で、ネイティブトークンのMTR (MTR) は一時80%近く急落し、ガバナンストークンのMTRG (MTRG) も約75%下落するなど、市場への影響も大きかった。
関連記事: イーサリアム上昇のカギは2,800ドル 200日線回復後のブレイクアウトなるか
Blockaidが示すセキュリティ上の論点
セキュリティ研究者らは、今回の3件は「単一の共通脆弱性」ではなく、それぞれ異なる故障点が突かれたと指摘する。
Payyは初期調査の結果として、今回の侵害は「秘密鍵の漏洩、ソーシャルエンジニアリング、オフチェーンインフラの脆弱性によるものではない」と説明。これに対し、Duelbitsを巡っては、外部レポートの多くがホットウォレットの秘密鍵侵害の可能性に言及している。BlockaidがMeterについて示した見立ては、あくまでブリッジ経由の不正ミントというプロトコル設計・検証面の問題に焦点を当てたものだ。
同時期には、大手取引所Bitgetでも約3億5,160万ドル規模とされる不正送金疑惑が浮上し、セキュリティチェックのため一時的に出金を停止。取引と入金は継続され、表示されているユーザー残高は正しいと説明している。また別件では、リキディティレイヤーのKelpDAOが、2億9,200万ドルのハッキング被害を巡り、ブリッジプロバイダーのLayerZeroと共同創業者Brian Pellegrinoを提訴。開示されていなかったリスクや技術的欠陥が損失につながったと主張している。
9月24日の一連の攻撃は、過去のセキュリティ懸念も再燃させた。Duelbitsは2024年にも約460万ドルの流出を経験しており、CertiKは当時から秘密鍵漏洩の可能性を指摘していた。Meterに関しても、2022年に約440万ドル規模のブリッジ侵害を受けている。
度重なるブリッジ・ホットウォレット関連の攻撃は、オンチェーン金融が抱える「安全性と利便性のトレードオフ」を改めて突きつけており、プロジェクト側には鍵管理の多層防御、ブリッジ設計の見直し、リアルタイム監視体制の高度化など、総合的なセキュリティ強化が求められている。
