Across Protocol、18時45分UTCのドメイン乗っ取りからacross.toを回復

分散型金融で最も取引量の多いクロスチェーンブリッジの一つを運用するAcross Protocolの公式サイトが火曜日に乗っ取られ、訪問者は一時フィッシングページへ誘導された。同プロトコルは水曜日に発表し、ドメインacross.toの管理権を取り戻し、全システムが正常に稼働していると明かした。回復にはNamecheap創業者のRichard Kirkendallの協力があったという。同社は今回の乗っ取りについて、オンチェーン側ではなくドメインレジストラへのソーシャルエンジニアリング攻撃を原因と特定しており、この点が事件全体の性格を決めている。

問題が表面化したのは火曜日。Acrossは偽サイト経由でウォレットから資金が流出したとの報告が相次いでいたことから、ユーザーにアプリの利用を控えるよう注意を促した。被害総額と影響を受けたウォレット数は現時点で公表されていない。チームが語ったのは、完全に遮断される前に悪性サイトへアクセスしたユーザーが影響を受けた可能性があること、サードパーティの連携やAPI利用者は影響を受けていないことのみだ。水曜日の更新でAcrossは影響を受けた全ユーザーの補償を約束し、近く詳細な検証報告を出す方針を示した。

今回の事件で決定的な資産はドメインそのものだ。across.toはユーザーが送金を承認するフロントエンドを担い、乗っ取りの時間帯に偽版へ着地した利用者は攻撃者が用意したあらゆるものにさらされた。この乗っ取りにプロトコルのスマートコントラクトは関与しておらず、チームもオンチェーンの侵害を主張していない。回復にはレジストラ段階での支援が必要だった。ブリッジが自ら管理しないインフラにどれほど依存しているか、そして攻撃が電話やサポート窓口経由で来る場合、監査の成果はほとんど役に立たないことを示す結果となった。

18時45分UTC、Namecheap経由の乗っ取り

チームがXで先に公開した経緯の説明によると、乗っ取りの瞬間は火曜日の18時45分UTCごろで、Namecheapに対するソーシャルエンジニアリング攻撃によって攻撃者がドメインの管理権を得た。Acrossは15分以内に異常を察知し、直ちにサイトの停止作業を開始したという。セキュリティ対応チームのSEAL911は主要ウォレット事業者と連携してドメインをフィッシングとしてフラグ処理し、Cloudflareは同アドレスを危険と判定したうえでDNSレコードを削除した。こうした対応により被害の範囲は絞り込まれた。リスクを負ったのは、乗っ取りから完全遮断までの間にドメインへアクセスした訪問者だけだ。

規模の面でも、この事件は看過できない。集計されたブリッジデータによると、Acrossはブリッジプロトコルの30日間の送金量でCircleとLayerZeroに次ぐ第3位に位置し、同期間における処理額は約59億ドルに達する。この流量をさばくフロントエンドはそれ自体が重要インフラであり、ドメイン回復までアプリ利用自粛の警告を維持した理由はここにある。対応の過程は、ドメイン単位の事件における役割分担も浮き彫りにした。プロトコルは自分の名前をフィッシングとしてフラグ処理できないため、ブロッキングはウォレット事業者とインフラ企業が担い、チームはレジストラとの交渉に専念した。

この事件は、暗号資産インフラにおける二種類の「名前」の違いも浮き彫りにする。レジストラが発行するacross.toのようなドメインは、社会的な圧力によってレジストラが手渡してしまいうる。一方、.ETHドメインのようなオンチェーンの名前はチェーン上で解決され、電話する先のレジストラが存在しない。火曜日に資金流出を報告した利用者にとってこの違いはほとんど意味を持たなかったが、こうした乗っ取りの後にプロジェクトが取れる回復経路はこれによって決まる。水曜日の発表で運用対応の段階は閉じた。具体的な数字を伴う被害の精算段階は、なお先にある。

原因はオフチェーン、損失は未確定

検証可能な根本原因はオフチェーンにある。攻撃は決済ロジック、流動性プール、コントラクト機構のどこにも触れていない。アトミックスワップの設計からゼロ知識証明まで、ブリッジの監査が確認対象とする領域はすべて無傷だ。一方、まだ検証できないのが損失そのものだ。チームは攻撃者のアドレスも、トランザクションハッシュも、ドル建ての総額も公表しておらず、オンチェーン上の被害は現時点で算定されていない。確認できる対応策は、レジストラの協力を得て回復したドメインと、数分単位で攻撃の勢いを削いだウォレットおよびCloudflareのフラグ処理である。残るのは、影響を受けた全ユーザーを補償するというチームの誓いだ。検証報告が数字とともに届くまで、資金を失った利用者にとって唯一の戻り道はこの誓いであり、それはすべてAcrossに依存している。