市场は冷え込んでいるが、ハッカーは止まらない：なぜクロスチェーンブリッジは常に標的にされるのか？

チェーン上はこれまでにないほど静まり返っているように見える。ハッカーを除いては。

SlowMistの「被ハックデータベース」の統計を見てみると、現在の市場の熱狂は冷め、チェーン上のアクティビティも減少しているものの、ハッカーたちは依然として「勤勉に」Web3の世界で攻撃を仕掛けていることがわかる。中でも、クロスチェーンブリッジ、DeFiプロトコル、ウォレットの承認、秘密鍵管理、フィッシング攻撃は、ハッカーが最も頻繁に狙う対象のひとつであり続けている。

SlowMistの「被ハックデータベース」の関連分類統計によると、2026年以降、Web3のセキュリティインシデントにより、累計で9億ドル以上の損失が発生しており、そのうちクロスチェーンブリッジ関連のインシデントは16件以上、損失額は約3億3000万ドルに上る。直近の事例だけを見ても：

Gravity Bridgeは、コントラクトのキーや署名の承認に関連する問題により攻撃を受けた可能性があり、約540万ドルの資産が盗まれた。Alephium TokenBridgeのイーサリアムクロスチェーンブリッジも脆弱性攻撃を受け、短期間で約81万5000ドルの資産が盗まれ、大量の裏付けのないWrapped ALPHが鋳造された。

こうしたインシデントは、一般ユーザーが最もよく耳にする「ウォレットが盗まれた」というケースとは必ずしも同じではない。多くの場合、ユーザーのシードフレーズはむしろ漏洩しておらず、ウォレットが悪意のあるトランザクションに自ら署名したわけでもない。しかし、クロスチェーンブリッジ自体の検証メカニズム、署名権限、または運用インフラに問題が発生すれば、ブリッジ上の資産は影響を受ける可能性がある。

これこそが、クロスチェーンブリッジのリスクの中で最も見落とされがちな点である。

一、なぜクロスチェーンブリッジは常に攻撃対象となるのか？

多くのユーザーは初めてクロスチェーンブリッジを使用する際、自分の資産がチェーンAからチェーンBに「移動」すると無意識に理解する。

しかし、より正確に言えば、クロスチェーンとは通常、資産が文字通りあるチェーンから別のチェーンへ「移る」ことではない。ブリッジングメカニズムを通じて、資産のマッピングとロック、そして再鋳造が行われるのだ。簡単に言えば、クロスチェーンブリッジが真に担う役割は、単なる「経路」ではなく、2つのチェーン間の資産検証と記帳システムのようなものなのである。

問題はまさにここにある。

これはつまり、ブリッジの署名鍵が漏洩すれば、攻撃者は正規の承認を偽造できる可能性があるということだ。ガーディアンの数が少なすぎたり、検証メカニズムが迂回されたりすれば、悪意のあるクロスチェーンメッセージが本物のメッセージとして実行される可能性がある。コントラクトの権限設計が不適切であれば、攻撃者は通常のプロセスを迂回してロックされた資産を盗み出したり、ターゲットチェーン上に裏付けのないマッピング資産を鋳造したりする可能性がある。

ユーザーが見ているのはワンクリックだが、その背後にはコントラクトの権限、署名メカニズム、メッセージ検証、資産のカストディ、オフチェーンサービス、監視システムなど、複数の要素が関わっている。どの層に問題が発生しても、資産がリスクに晒される可能性がある。つまり、クロスチェーンブリッジが攻撃対象となりやすいのは、「クロスチェーン」というニーズ自体に問題があるからではなく、それが生来、3種類の高価値な権限を集中させているからである。

• まず、クロスチェーンブリッジは多くの場合、大量のロックされた資産を保有している。多くのブリッジング資産の背後には、ソースチェーン上でロックされた現実の資産が対応している。ブリッジのコントラクトに大量のUSDC、USDT、ETH、またはその他の流動性の高い資産が滞留していれば、それは当然、攻撃者が重点的に狙う標的となる。
• 次に、クロスチェーンブリッジは「別のチェーンで何が起こったか」という問題を解決しなければならない。ブロックチェーンは本来、別のチェーンの状態をネイティブに読み取ることができないため、クロスチェーンブリッジは何らかの検証メカニズム、例えばバリデータの署名やその他の中継システムに依存せざるを得ない。これらのメカニズムが複雑になればなるほど、攻撃対象領域も大きくなる。
• 最後に、一般ユーザーがブリッジの実際のセキュリティ状態を直接判断することは困難である。クロスチェーンページが開けるからといって、そのブリッジが安全な状態にあるとは限らない。ブリッジの署名者が安全かどうか、コントラクトの権限が適切かどうか、バックエンドサービスが侵害されていないかどうかは、ユーザーがフロントエンドのインターフェースから直接見極めることは難しい。

先日起こったKelp DAOのセキュリティインシデントは、関連する議論を再び風雲急を告げるものとした。公開された振り返りによれば、こうしたインシデントは必ずしもスマートコントラクト自体のコードの脆弱性に起因するわけではなく、クロスチェーン検証の設定、オフチェーンインフラ、あるいは運用上のセキュリティの局面から生じる可能性がある。

言い換えれば、今日多くのL1、L2、マルチチェーンアプリケーションの間でいわゆる「相互運用性」は、本質的には依然として信頼される一連の中継、検証、署名メカニズムに依存している。そして、これらのメカニズムがひとたび誤って設定されたり、突破されたりすれば、システム全体の中で最も脆弱な部分となり得る。

これこそが、クロスチェーンのセキュリティがユーザーの「注意深さ」だけに頼ったり、プロトコルの「一度の監査」だけに頼ったりすることができない理由である。ウォレット、プロトコル、セキュリティチーム、クロスチェーンインフラ、そしてユーザーが共同で、より完全なリスク識別と防御メカニズムを構築する必要がある。

二、クロスチェーンは使えないわけではないが、一段階の判断を追加すべきである

もちろん、客観的に言えば、クロスチェーンブリッジは使えないわけではない。

マルチチェーンエコシステムはWeb3の現実となっており、ユーザーは異なるネットワーク間で資産を移転したり、アプリケーションを使用したり、DeFiに参加したり、ポジションを管理したりする必要がある。クロスチェーンブリッジは依然として重要なインフラである。真に変えるべきなのは、「クロスチェーンを完全に使わない」ことではなく、クロスチェーンを普通の送金のように考えないことである。

クロスチェーンを行う前に、ユーザーは少なくともいくつかの判断を追加で行うべきである。

第一に、エントリが公式チャネルからのものであることを確認する。特に、コミュニティのダイレクトメッセージ、検索広告、見知らぬチュートリアル、コメント欄のリンクからクロスチェーンページにアクセスしないこと。セキュリティインシデントが発生した直後は、攻撃者が「資産移行」や「緊急復旧」などを装ったフィッシングサイトをでっち上げ、ユーザーを騙してウォレット接続、資産承認、シードフレーズ入力を誘導する機会を狙っているため、特に注意が必要である。

第二に、プロジェクト側が異常に関する発表をしていないか確認する。もしブリッジが攻撃されたばかりなら、急いでクロスチェーンを続けたり、関連するラップド資産を盲目的に取引したりしないこと。過去の経験から、多くの攻撃発生後、リスクが最初の瞬間に完全に解消されることはない。攻撃者は依然として裏付けのない資産を保有しているか、市場の流動性を利用して現実の資産をさらに引き出そうとしている可能性があるからである。

第三に、少額でテストする。多額の資産を一度にクロスチェーンしないこと。特に、慣れないブリッジ、慣れないチェーン、またはローンチされたばかりの新しいブリッジを使用する場合は、少額でパス、到着時間、ターゲットチェーンの資産が正常かを確認する。少額テストはリスクを完全に排除できるわけではないが、パスの間違い、偽のエントリ、資産認識の問題などによる大口の損失を減らすことができる。

第四に、承認時には無制限の承認をできるだけ避ける。現在、多くのクロスチェーン操作では事前にコントラクトへのトークン承認が必要となる。もし100 USDTだけをクロスチェーンするのであれば、実際の使用額をはるかに超える長期の承認はできるだけ与えない方が良い。承認枠が大きければ大きいほど、後続の潜在的なリスクの露出面が高くなる。特に、長期間使用していない、出所不明、セキュリティ状態が変化したDAppの承認は、定期的に確認しクリーンアップすべきである。

第五に、署名とトランザクション情報を注意深く読む。時間がないからといって連続して確認をクリックしないこと。特に、見慣れないウェブサイト、異常なコントラクトアドレス、奇妙な署名内容、あるいは自分の想定する操作と一致しない権限リクエストを見かけた場合は、すぐに操作を中止すべきである。

最終的にクロスチェーンが完了しても、セキュリティチェックをすぐに終わらせるべきではない。多くのユーザーは資産が到着すればクロスチェーン操作は終了したと考えるかもしれない。しかし、セキュリティの観点からは、クロスチェーン後のチェックも同様に重要である。

• クロスチェーン完了後、まずブロックエクスプローラーを使用してソースチェーンとターゲットチェーンの両方のトランザクション状態を確認し、資産が実際に移転されたかを確認する。フロントエンドのページ表示だけを信頼してはいけない。
• 同時に、ターゲットチェーンで受け取った資産が公式または信頼できるコントラクトから発行された資産であるかを確認する。出所不明の同名トークンをむやみに取引しないこと。ウォレットに突然特定の資産が増えたからといって、それに関連するウェブサイトやクレームエントリをクリックしてはいけない。
• 最後に、使用しなくなった承認を定期的にチェックしクリーンアップする。多くの承認は自動的に期限切れにならないため、過去にクロスチェーンブリッジ、DApp、またはコントラクトに高額の権限を付与した場合、その後使用しなくなっても、リスクの露出が継続する可能性がある。

つまり、セキュリティとはシードフレーズの保管という瞬間だけに発生するものではなく、DAppへの接続、トークンの承認、トランザクションへの署名、クロスチェーン送金、そしてその後のクリーンアップに至るまでの完全なプロセスにわたるものである。

三、ブリッジよりもさらに隠れたものは、「人間」が突破されることである

クロスチェーンブリッジのインシデントは、チェーン上のインフラ自体にリスクが存在する可能性があることを私たちに思い出させる。しかし、一般ユーザーの観点からは、より一般的でより隠れた別の種類のリスク、すなわちソーシャルエンジニアリング攻撃が存在する。

いわゆるソーシャルエンジニアリング攻撃は、必ずしも複雑なコードの脆弱性に依存するわけではない。その核心は、人間の習慣、信頼、不安、情報の非対称性を利用して、ユーザー自身に危険な操作を実行させることにある。

過去2年間、ユーザーを標的としたフィッシング、秘密鍵の盗難、悪意のある承認、偽装アドレス詐欺は、Web3における資産損失の非常に頻度の高いリスク源となっている。これは、ハッカーが必ずしもスマートコントラクト自体の突破に固執するわけではなく、ますますユーザーの操作やオフチェーンシステムへと標的を移していることを示している。

一般的なソーシャルエンジニアリング攻撃は、しばしば一言で言えば「騙す」ことに集約される。

例えば、攻撃者はダスト攻撃、エアドロップNFT、偽のポイント獲得、偽のイベントページなどを通じて、ユーザーを誘導してクリックさせ、承認を行わせる。ユーザーは報酬を受け取っているだけだと誤解するが、実際には悪意のあるコントラクトに資産移転の権限を付与してしまい、その後、資産が攻撃者によって移動される可能性がある。

また、攻撃者はトロイの木馬ウイルス、クリップボードの監視、悪意のあるブラウザ拡張機能、偽装された入力インターフェースなどを通じて、シードフレーズやトランザクション情報を盗もうとする。ユーザーにとって最も危険な点は、これらの攻撃がしばしばチェーン上ではなく、日常的なデバイスや操作習慣の中で発生することである。

この種のリスクで最も警戒すべき点は、それらがコードではなく、習慣を攻撃するということである。

多くのユーザーはセキュリティを知らないから引っかかるのではなく、操作に慣れすぎているから引っかかるのである。「確認」を見ればクリックし、過去のアドレスを見ればコピーし、エアドロップを見れば受け取り、カスタマーサポートの注意事項を見れば従ってしまうほど慣れてしまっている。攻撃者はまさにこの慣れ親しんだ感覚を利用して、最も日常的な操作経路の中にリスクを隠すのである。

したがって、ユーザーはチェーン上で操作する際、特にDeFi、クロスチェーンブリッジ、取引ツール、新しいプロジェクトのページなどを使用する場合、承認管理とトランザクション確認を基本的な習慣としなければならない。馴染みのないDAppに長期にわたって多額の承認を与えたり、見知らぬウェブサイトでシードフレーズを入力したり、ダイレクトメッセージのカスタマーサポートを簡単に信じたり、履歴から直接アドレスをコピーしたり、ウォレットが表示するリスク警告を無視したりしてはいけない。

最後に

市場がこのように冷え込んでいても、私たちは言わなければならない。クロスチェーンブリッジは使えないわけではないし、DeFiに参加できないわけでもない。新しいチェーンや新しいアプリケーションを試せないわけでもない。

ただ、私たちが理解すべきは、チェーン上の操作が豊富になればなるほど、リスクの構造も複雑になるということである。かつてウォレットのセキュリティについて語る際、「シードフレーズを漏らさないこと」が重点的に強調されていた。この言葉自体は間違っていないが、現在の実際の文脈に照らせば、明らかに不十分である。

なぜなら、今日のセキュリティ問題は、「誰があなたの秘密