Verus Ethereum ブリッジの悪用（エクスプロイト）は、約 1,160 万ドル相当の資産が抜き取られ、その後 ETH に集約されたことから、今週もっとも注目されている暗号資産セキュリティインシデントの 1 つになりつつある。日曜の遅い時間にオンチェーンのセキュリティ企業からのアラートとして始まったこの出来事は、すぐに「なぜまた別のクロスチェーンシステムが、基本的な検証ステップで失敗したのか」という、より広い疑問へと発展した。
損失は小さくも抽象的でもなかった。PeckShield によると、このブリッジは 103.6 tBTC、1,625 ETH、147,000 USDC を失ったとされており、短時間で相当量のブリッジ準備金が引き出されたことを示している。その後、攻撃者は盗んだ暗号資産を約 5,402 ETH にスワップし、戦利品の支配を 1 つの主要な資産に集中させた。
同時に、運用面での影響はブリッジ自体を超えて広がった。Verus は Discord チャンネルで、攻撃の副産物への対応中に、ほとんどのブロック生成ノードがオフラインになった結果、Verus ネットワークが停止したと述べた。開発者たちは現在、このエクスプロイトがどのように機能したのかを調査しており、これまでのところ完全な公開ポストモーテムは出されていない。
Summary
Verus-Ethereum ブリッジに何が起きたのか
核心となる事実は厳しいものだ。Verus-Ethereum ブリッジは継続的なエクスプロイトを受け、約 1,160 万ドル相当の暗号資産が抜き取られた。
PeckShield の内訳は損失の最も明確な公開情報となっており、ブリッジが 103.6 tBTC、1,625 ETH、147,000 USDC を失ったと報告している。
これは、ブリッジのエクスプロイトが DeFi における最もセンシティブなポイントの 1 つ、すなわちチェーン間で価値を移動させるインフラを直撃するため重要だ。ブリッジが侵害されると、流動性、ユーザーの信頼、ネットワーク運用に同時に影響が及び、被害が急速に拡大しうる。
今回のケースでは、Verus Ethereum ブリッジのエクスプロイトが、より広い Verus ネットワークの対応にも混乱をもたらしたように見える。Verus は、ほとんどのブロック生成ノードが自発的にオフラインとなり、チームが影響への対処にあたる間、ネットワークが停止したと述べた。
攻撃者はどのように資金を動かしたのか
Blockaid は、日曜の遅い時間にこの攻撃を検知し、攻撃者ウォレットを 0x5aBb…D5777 と特定した。同社によると、盗まれた資産はその後、0x65C…C25F9 とラベル付けされた別のウォレットに移された。
PeckShield は、攻撃者がその後、盗んだ資金を約 5,402 ETH にスワップし、報告時点での価値はおよそ 1,140 万〜1,160 万ドルだったと述べた。このコンバージョンは、複数の盗難資産を ETH にまとめることで、カストディやその後の移動を単純化できるため、調査担当者や市場関係者にとって重要だ。
セキュリティ分野で直ちに注目を集めた別のディテールもあった。PeckShield によると、攻撃者ウォレットはエクスプロイトの約 14 時間前に Tornado Cash を通じて 1 ETH の資金供給を受けていた。
それ自体はエクスプロイトの説明にはならないが、このインシデントにおなじみのパターンを加えることになる。多くの DeFi 攻撃事例では、プライバシーツールを通じた少額の初期資金供給が、研究者がオンチェーンで追跡する最初の手がかりの 1 つとなっている。
セキュリティ企業が検証不備の関与を疑う理由
初期分析は、単純な秘密鍵の窃取ではなく、より構造的なブリッジの弱点に焦点を当てていた。
複数のセキュリティ企業は、問題はクロスチェーンメッセージの検証に関係している可能性が高いと述べた。GoPlus Security は、クロスチェーンメッセージ検証の失敗、出金ロジックのバイパス、あるいはアクセス制御の弱さが疑われると指摘した。実務的には、ブリッジが本来拒否すべきメッセージを受け入れ、処理してしまった可能性を示唆している。
Blockaid はより狭い説明を提示し、問題はブリッジ検証関数における送信元金額の検証欠如に関係しているようだと述べた。このディテールは重要だ。クロスチェーンメッセージに紐づく送信元金額をブリッジが適切に検証できなければ、攻撃者は、発信元側で正当な入金が存在しないにもかかわらず、準備金からの送金を引き起こせる可能性がある。
ExVul も同様の理論を示し、攻撃者はブリッジの検証プロセスを通過する偽造のクロスチェーンインポートペイロードを用いたと述べた。この見立てが正しければ、このエクスプロイトは DeFi ブリッジセキュリティにおける、よく知られ高コストなパターンに当てはまることになる。つまり、署名者の鍵が盗まれたからではなく、チェーン間で何を承認すべきかをチェックするロジックが弱すぎるためにブリッジが破られる、というパターンだ。
これが、Verus Ethereum ブリッジのエクスプロイトが、単なる被害額以上の注目を集めている理由の 1 つでもある。検証の欠陥はブリッジ設計の核心に関わる。信頼の前提や検証経路が脆弱であれば、典型的なウォレット侵害がなくても、大量のクロスチェーン流動性が露出しうる。
クロスチェーン検証の欠陥が意味するもの
ブリッジシステムにおいて、クロスチェーン検証は、メッセージやトランスファーが正当なものかを確認し、資産を解放する前にチェックするステップである。このステップが壊れると、ブリッジは本来拒否すべきデータに基づいて行動してしまう可能性がある。そのため、セキュリティチームは単純なウォレット窃取ではなく、検証経路に焦点を当てている。
DeFi ブリッジセキュリティにとってなぜ重要なのか
ブリッジシステムはリスクの高い中間地点に位置している。別々のネットワークを接続し、メッセージを検証し、準備金を保有し、条件が整ったときにのみ資産を解放する役割を担う。それゆえ有用である一方で、異常なほど露出度も高い。
Verus のケースは、DeFi ブリッジセキュリティにおける繰り返しの教訓を再確認させる。セキュリティとは鍵を守ることだけではない。検証関数、インポートロジック、出金コントロールが、不正な形式や偽造データに騙されないようにすることも含まれる。
セキュリティ企業は、まさにその種の問題に焦点を当てている。クロスチェーン検証の欠陥、送信元金額検証の欠如、アクセス制御の弱さといった繰り返しの指摘は、より広い 1 つの論点、すなわちブリッジがクロスチェーン命令を受け入れ実行するためのルールが十分に強固だったかどうか、という問題を示している。
ユーザーやビルダーにとって注視すべきなのはこの部分だ。ブリッジは、検証に関する前提が崩れるその瞬間まで、正常に稼働しているように見えうる。
ネットワークへの影響と今後の展開
Verus は、攻撃の副産物への対応中にほとんどのブロック生成ノードがオフラインになった結果、ネットワークが停止したと述べた。これにより、このストーリーは限定的なスマートコントラクトインシデントの範囲を超え、ネットワークレベルの障害へと発展した。
プロジェクトの開発者たちは、エクスプロイトがどのように実行されたのか、そして次にどのようなステップを踏むべきかを調査している。これまでのところ、Verus チームは完全な公開ポストモーテムを発表していない。
そのため、次のフェーズは技術的なレビューが中心となる。ブリッジの検証経路がどのようにバイパスされたのか、疑われている欠陥がセキュリティ企業の説明と一致するのか、そして信頼回復の前にどのような変更が必要となるのか、といった点だ。現時点では、この攻撃は、暗号資産の世界では、最も弱いポイントはしばしば資産そのものではなく、それをチェーン間で移動させるために信頼されているコードである、ということを改めて思い起こさせる出来事となっている。
