YZi Labsの出資を受けるBounceBitは、攻撃者がプロトコル層の権限管理における欠陥を突いて9つのメインネットアカウントから約2億8650万BBトークンを流出させたことを受け、自社のレイヤー1ブロックチェーンを恒久的に閉鎖すると発表した。Wu Blockchainによれば、攻撃者は5時間足らずのうちに14件のトランザクションにわたって資金を移動させたという。悪用されたのは、その上で稼働するスマートコントラクトではなく、BounceBitのEvmosベースのチェーン自体に固有の欠陥だった。
BounceBitはこれまで、実世界資産(RWA)のトークン化に軸足を置いた「ビットコイン・リステーキング」のレイヤー1を謳い、中央集権的なカストディとオンチェーンのリステーキングを橋渡しするCeDeFiの枠組みを通じて、BTC保有者が利回りを得られる仕組みを提供してきた。今回の侵害の規模とスピードを踏まえ、チームはライブパッチでの対応を試みるのではなく、侵害されたチェーンの運用を続けること自体が現実的ではないと判断したとみられる。
何が問題だったのか
単一の脆弱なスマートコントラクトを狙う多くのDeFiハッキングとは異なり、今回の攻撃はチェーン自体の権限管理層——どのアカウントがどのように資金を動かせるかを制御するはずの許可システム——を直撃した。この層の欠陥によって、通常であれば侵害を単一のウォレットに封じ込めるはずの安全策が事実上迂回され、攻撃者は短時間のうちに複数のアカウントから資金を引き出すことができてしまった。
この違いは、業界が今回の事件をどう受け止めるかという点で重要な意味を持つ。スマートコントラクトの不具合であれば、通常は基盤となるチェーン自体に手を加えずに修正できる。しかし、基盤層の権限管理ロジックに欠陥があるとなれば、それはより根本的な設計上の失敗であり、BounceBitが係争を招きかねないロールバックや部分的な修正を選ばず、ネットワークをまるごと閉鎖するという決断に至った理由も、おそらくそこにある。
Evmos系チェーンに共通する気がかりなパターン
BounceBitは、CosmosSDKをベースにEVM互換性を提供するEvmosフレームワークの上に自社チェーンを構築していた。今年、他のいくつかのプロジェクトも同じフレームワークを採用している。基盤層を狙った悪用は、アプリケーション層のDeFiハッキングと比べると比較的まれだが、いざ発生すると深刻度が増す傾向がある。その上で動く単一のプロトコルではなく、チェーンそのものの信頼の前提を侵害することになるためだ。この違いにより、資金が失われてしまった後にユーザーが取り得る救済手段は、格段に限られてしまう。
関連記事: MANTRA Chain、原因不明の障害でネットワークを全面停止 トークン急落
影響を受けたユーザーは今後どうなるのか
BounceBitは、閉鎖の影響を受けた保有者やリステーキング利用者に向けた補償計画や移行手段について、まだ詳細を明らかにしていない。資金を流出させられた9つのアカウントも公にはされていない。ビットコイン保有者とオンチェーン利回りをつなぐ信頼の架け橋を自任してきたプロジェクトだけに、今回の一件は、リステーキングとRWAという広いカテゴリー全体がどう受け止められるかにも影響を及ぼしそうだ。とりわけ、このプロジェクトが取り込もうとしてきた、よりリスクに慎重なビットコイン保有層の間では、その影響が色濃く出る可能性がある。
