EthereumのAlephium TokenBridgeが攻撃され、7分で81万5,000ドルが盗まれる

2026年から5か月が経過し、攻撃は続いています。ブロックチェーンセキュリティ企業のBlockaidは、5月30日にEthereumのAlephium TokenBridgeを標的とした新たな脆弱性を発見しました。

調査によると、偽のVAA（検証済みアクション承認）に署名した侵害されたガーディアンキーの4つ中3つが、7分で81万5,000ドルを引き出されるのに使用されました。

ガーディアンキーはどのように漏洩したのですか？

コンテキストとして、Alephium TokenBridgeはEthereumとAlephiumブロックチェーンを接続するブリッジです。

ユーザーがAlephiumからEthereum [ETH]に切り替えると、実際のALPHは単一のチェーン上でロックされます。以降、Ethereumを使用してラップされたバージョン（wALPH）がミントされます。

ミントを実行する前に、ブリッジの3人のガーディアンがロックが确实に実行されたことを確認します。また、クロスチェーン振替を確認するために、システムはガーディアンの署名を使用します。

転送メッセージをブリッジが承認するには、4人のガーディアンのうち3人が署名する必要があります。しかし、Alephium TokenBridgeの攻撃では、3つのガーディアンの秘密鍵が何らかの方法で攻撃者に取得されました。

そのキーを入手した後、彼らはVAAsと呼ばれる偽のブリッジメッセージを作成し、それらを本物のように見せかけました。

ALPHのミントに加えて、偽造されたVAAsは、すでに凍結された資産を解放するようブリッジに指示を与えました。

攻撃者がブリッジに有効な引き出しがあったと説得した結果、Tether [USDT]、USD Coin [USDC]、Wrapped Bitcoin (WBTC)、Wrapped Ether (WETH) が解放されました。

攻撃者は実際のALPH入金を行わずに、1376万枚のラップドALPHを生成しました。Blockaidによると、これは以前利用可能だったラップド供給量の100％以上です。

言い換えれば、攻撃者は本質的に、ALPHを裏付けとする資産を空から大量に生成しました。

これは、攻撃者が担保のない資産を作成し、ブリッジメッセージを偽造したWormhole Bridge Exploitと似ています。

さらに、これは最近発生したVerus-Ethereumブリッジの攻撃に続き、約1158万ドルが消失しました。