ビットコイン再ステーキングとCeDeFiを手がけるBounceBitが、自前のレイヤー1ブロックチェーンを恒久的に停止すると発表した。攻撃者が認証システムの欠陥を突き、9つのアカウントから2億8650万BB、当時のレートで約300万ドル相当を移動させたことを受けた措置だ。脆弱性を修正するのではなく、チームはチェーンそのものを放棄し、BBをBNBチェーン上のトークンとして再発行する道を選んだ。
攻撃は8月19日21時02分(UTC)から翌20日1時54分(UTC)にかけて発生し、ブロック生成が停止されるまでの5時間弱の間に14件の取引が実行された。特筆すべきは、秘密鍵やユーザーウォレットは一切侵害されていない点だ。今回の攻撃が突いたのは、チェーン自体の認証システムに存在した欠陥で、指定された送金元アカウントが実際に承認したかどうかを検証できておらず、攻撃者が権限なしに任意のアカウントを送金元として指定できる状態になっていた。
なぜ修正ではなく撤退を選んだのか
根本原因はBounceBit Chainの技術基盤そのものにさかのぼる。このネットワークはEvmosのソフトウェアスタック上に構築されており、今回の脆弱性はそのスタックが備えるネイティブモジュールの一つに存在していた。BounceBitによれば、この欠陥をきちんと修正するために環境を作り直すのは現実的ではなかったという。理由は、土台となっているEvmosプロジェクト自体が2026年5月に開発中止となっており、オリジナルの開発チームがすでにサポートを打ち切ったインフラを、セキュリティ上重要な部分も含めて自前で維持し続けなければならない状況に置かれていたためだ。
こうしてBounceBitは、異例の選択を迫られることになった。開発が止まったソフトウェアの上に築かれたチェーンを修正するか、それとも完全に移行してしまうか。チームが選んだのは移行だった。BBはBNBチェーン上のBEP-20トークンとして再発行され、残高は不正取引が始まる直前の8月19日21時02分35秒(UTC)、ブロック20,697,260時点のBounceBit Chainの状態のスナップショットをもとに復元される。攻撃者が移動させた2億8650万BBは新しい供給には引き継がれず、プロトコル側が損失を被る形ではなく、盗難そのものを事実上無効化する形が取られた。
関連記事: コールドカード、1.3億ドル規模のビットコイン流出を受けファームウェアを刷新
ユーザーが知っておくべきこと
BounceBitはこの決定を単なる被害対応以上のものと位置づけている。BNBチェーンにはすでにプロトコルのユーザー活動の大半が集まっており、流動性の厚さ、ウォレット対応の広さ、開発者コミュニティの規模のいずれも、独自チェーンがこれまで獲得してきた水準を上回るという。ステーキング契約にロックされているポジションを含む正当な残高は、手動での申請手続きを必要とせず、BNBチェーン上のユーザーの対応アドレスへ自動的に割り当てられる予定だ。
今回の一件は、プロジェクトのセキュリティが結局のところ、それが依拠するソフトウェアスタックの堅牢さ次第でしかないことを改めて示している。チェーンの基盤となるフレームワークの開発元がいなくなれば、その上に築かれたプロジェクトは、想定していたかどうかにかかわらずそのリスクを引き継ぐことになる。BounceBitにとって、判断材料はコストだった。開発の止まったインフラの上で独自の認証システムを作り直すのか、それとも積極的にメンテナンスされているセキュリティモデルを持つチェーンへ素直に移行するのか。今月初めにハードウェアウォレットから1.3億ドル超を流出させたコールドカードのシード生成の欠陥に続き、2026年に入ってビットコイン関連プロジェクトにセキュリティ前提の見直しを迫る事案がまた一つ加わった形だ。
