THORChain(RUNE)、Bitgetによるハッカー遮断要請を拒否——630万ドル規模のETHスワップが継続

2,390 ETHがビットコインに変換

Bitgetの攻撃者に結び付けられたウォレットは月曜日も盗んだイーサリアム(ETH)のビットコイン(BTC)への変換を続け、朝の取引セッションだけで約630万ドルをTHORChain(RUNE)のスワップネットワーク経由で動かした。オンチェーン記録を確認したところ、UTC時刻で午前3時55分頃から6時23分頃までの間に27件のスワップが成立し、約2,390 ETHが75.2 BTCと交換されていた。支払われたビットコインはすべて単一の集約アドレスに送金されている。注文は1回約100 ETH——1件あたり約26万5,000ドル——のバッチで出され、送信元はブロックチェーントラッカーのLookonchainが攻撃者の活動の一部と特定したイーサリアムウォレットだ。さらに400 ETHに及ぶ4件の追加スワップが、記録上はまだ「保留」状態のまま残っている。すべてが順調に約定したわけではない。100 ETHのスワップ2件は、一部が指定された最低価格を満たせず部分約定にとどまり、送信ウォレットに約114 ETHが戻された——スリッページが実行を蝕んだ証拠がオンチェーンに残る形だ。資金は止められない一方で足跡は開示され続けている。その理由はTHORChainの設計にある。プロトコルはアカウントなしでクロスチェーン取引を決済するため、主要な暗号資産取引所がコンプライアンス部門で出金を凍結できるのとは異なり、送信者と決済の間に何者も介在しない。だが、そのすべての経路は基盤となるブロックチェーン記録に公開のまま追跡可能だ。

Bitgetの凍結要請と報奨金

Bitgetの要請の発端は9月24日の侵入事故だ。攻撃者がバックエンドのウォレットシステムに侵入し、取引所自身の承認プロセスを経由させて送金を実行、同社のウォレットから約3億8,800万ドル——同社自身の公表値は3億8,750万ドル——が流出した。Bitgetはこの手口を北朝鮮のハッカー組織と高い整合性があるとしている。土曜日、CEOのGracy ChenはTHORChainに対しサービスの拒否を要請し、公開された攻撃者アドレスの処理を止めるよう求めた。同氏は「分散化は設計原則であって、盗まれた資金の流通を助ける盾ではない」と主張した。要請には、資金の凍結または回収に成功した場合の5%の報奨金が併せて提示され、追跡パートナーのSlowMistも「分散化を全面的な言い訳にすべきではない」と促した。THORChain側の最初の回答は、当該プロトコルはBitcoinネットワーク、Ethereum、BNB ChainといったLayer 1チェーンと同様にパーミッションレスであり、盗まれた資金がそれらのネットワークを通過する場合、各ネットワークはどのような責任を負うのかと問い返すものだった。批判者はこの枠組みを退けた。OKXの創設者兼CEOのStar Xuは、THORChainのバリデータがボールト資産を共同で管理していると指摘し、セキュリティ企業のGoPlusは約101.5 BTC(約850万ドル)がすでにプロトコル経由で流出したと推計した上で、さらに2,763万XRP(約4,300万ドル)がビットコインへの交換中にあると述べた。

5月の停止という前例

THORChainは月曜日、X上で反論した。「停止(halt)は特定の資金や個別のスワップを選択的に凍結するものではない」とチームは述べ、プロトコルは「設計上、検閲を行わない」と強調した。この区別は意図的なものだ。ネットワークは緊急時の制御を過去に実際に発動している——ただし、特定のアドレスを名指ししたことは一度もない。5月、攻撃者がTHORChain自身のスワップボールトから約1,070万ドルを引き出した際には、ノード運営者が調整のうえネットワーク全体を停止し、開発者が脆弱性を修復した。取引は約5週間後の6月22日に再開されたが、5月の攻撃者のアドレスはブラックリスト登録されていない。同プロトコルは被害資金の「回廊」としても繰り返し使われてきた。4月の2億9,200万ドル規模のKelp DAOエクスプロイトの攻撃者は流出資金をTHORChain経由で移し、15億ドルのBybitハッキングの後には北朝鮮のLazarus Groupが同じ経路を利用した。Bitget関連の流入は収益面でも追い風となった。ハッキング後2日間でTHORChainは6億7,800万ドルを処理し、直前1週間の1日あたり2,000万〜6,000万ドルの取引高から跳ね上がり、システム収入として約120万ドルを計上した。当初の要請については先立つ当レポートで扱った。

当社デスクの見立てでは、この騒動の本質は「偽善」かどうかではなく、検証可能性にある。オンチェーン上の証拠は完全だ。攻撃者のイーサリアムウォレット、成立した27件のスワップ、単一のビットコイン集約アドレスはいずれも公開され、第三者が独立して確認できる——だからこそ、Bitgetの公開アドレスリストと5%の報奨金が初めて機能し得る。根本原因は、Bitget自身の説明によれば取引所側にある。署名承認プロセスが突破されたバックエンドのウォレットシステムだ。同社の対応策は、修復済みの脆弱性と全損失を補填するユーザー保護ファンドの組み合わせだ。パーミッションレスな経路がハッキング資金を吸収し続ける限り、業界が実際に握っているレバーは遮断ではなく追跡だ、というのが結論になる。