L1チェーンのHarmonyがハッキング被害を公表、約135億円の不正流出

Horizon Bridgeから不正流出

ブロックチェーン間の資産移動に利用される「ブリッジ」サービスの一つで23日、総額135億円（1億ドル）相当の暗号資産（仮想通貨）が不正流出したことが明らかになった。

1/ The Harmony team has identified a theft occurring this morning on the Horizon bridge amounting to approx. $100MM. We have begun working with national authorities and forensic specialists to identify the culprit and retrieve the stolen funds.

More 🧵
— Harmony 💙 (@harmonyprotocol) June 23, 2022

Harmony（ONE）のエコシステムで構築された「Horizon Bridge」は、イーサリアム（ETH）のブロックチェーンやBNBチェーンとの間で資産移動に使用されるブリッジングサービス。イーサリアム上で米ドル・ステーブルコイン（USDC）をロックアップするとHarmonyのトークン規格（HRC20）のUSDCを受け取って運用したり、元のチェーンに戻すこともできる。

日本時間23日午後21頃、合計11件の不正なトランザクションによりイーサリアム・チェーン上で同ブリッジから複数のトークンが流出。その後、分散型取引所UniswapでETHに交換された。履歴を見ると、主にFrax（FRAX）やAave（AAVE）、Sushi（SUSHI）等が売られている。

Harmonyチームはブリッジ機能を停止し、取引所と連携するなど事態の悪化防止に努めている。また、「国家当局やブロックチェーン分析の専門機関」と協力して資金を取り戻すために攻撃者を追跡していると述べた。

その後、同チームは特定したハッカーのウォレットアドレスを公開。該当アドレスには約132億円のイーサリアム（85,837 ETH）と約7万ドル（900万円）相当のアルトコインが残されている（執筆時点）。

不正流出が相次ぐブリッジ

本件の原因は分かっていない。Horizon Bridgeはブロックチェーンセキュリティ企業Peckshieldによる監査を20年11月に完了していたが、22年4月にはマルチシグ（複数署名）の設計に脆弱性があると指摘されていた。

様々なブロックチェーンが台頭するにつれて、クロスチェーン・ブリッジへの攻撃が増加している。22年2月には、仮想通貨の互換性技術を開発するWormhole（ワームホール）上で構築された、ソラナ（SOL）とイーサリアム（ETH）のブリッジから12万 ETH（約373億円）が流出したことが明らかになっていた。

NFT（非代替性トークン）ゲーム「Axie Infinity（アクシーインフィニティ）」用のチェーンとイーサリアムをつなぐRoninブリッジも3月にハッキングに遭っている。17万3,600ETH（720億円相当）と2,550万USDC（31億円相当）が盗まれた。調査により、攻撃者がバリデータの秘密鍵を盗み、Roninブリッジから出金を実行したことが分かっている。

関連：米財務省、Ronin資金流出の背景に北朝鮮のハッカー集団を特定