Web3 セキュリティ企業 GoPlus Security は、新しくリリースされたクロスレイヤープロトコル x402bridge がセキュリティの脆弱性に直面し、200人以上のユーザーが USDC を失い、合計約 17,693 米ドルに達したと報告しています。オンチェーンの探偵およびセキュリティ企業 SlowMist は、この脆弱性が最も可能性の高いもので管理者の秘密鍵の漏洩によって引き起こされたものであり、攻撃者が契約の特別な管理権限を取得したことを確認しています。GoPlus Security は、当該プロトコル上にウォレットを持つすべてのユーザーに対し、進行中の承認をできるだけ早くキャンセルするよう緊急に推奨し、ユーザーには契約に無制限の権限を与えないよう警告しています。この事件は、x402 メカニズムにおいて、サーバーに保存された秘密鍵が管理者権限の漏洩を引き起こす可能性のあるセキュリティリスクを暴露しました。
新プロトコル x402bridge が攻撃を受ける：過剰な権限付与が秘密鍵のセキュリティリスクを露呈
x402bridge プロトコルは、オンチェーンに上がって数日後に安全攻撃に遭い、ユーザーの資金が損失しました。このプロトコルのメカニズムでは、ユーザーが USDC をミントする前に、必ず Owner コントラクトによって権限付与を受ける必要があります。今回の事件では、まさにこの過剰な権限付与が原因で、200 人以上のユーザーの残高のステーブルコインが移転されました。
攻撃者が漏洩した秘密鍵を利用してユーザーの USDC を盗む
GoPlus Security の観察によると、攻撃プロセスは明確に 権限の濫用 を指し示しています。
- 権限移転： 作成者アドレス (0xed1A 先頭) は全ての権利をアドレス 0x2b8F に移転し、後者に x402bridge チームが保有する特別な管理権限、重要な設定の変更や資産の移転能力を付与しました。
- 悪意の機能を実行：権限を取得した後、新しい所有者のアドレスは「transferUserToken」という機能を直ちに実行し、そのアドレスは以前にこの契約に対して承認されたすべてのウォレットから残りの USD Coins を引き出すことができる。
- 資金の損失と移転：アドレス 0x2b8F はユーザーから約 17,693 USD の USDC を盗み、その後、盗まれた資金をイーサリアムに交換し、複数回のクロスチェーン取引を通じて Arbitrum ネットワークに移転しました。
脆弱性の根源：x402 メカニズムにおける秘密鍵の保管リスク
x402bridge チームはこの脆弱性事件に対して対応を行い、攻撃が秘密鍵の漏洩によって引き起こされたことを確認しました。その結果、十数のチームのテストおよび主要なウォレットが盗用されました。このプロジェクトはすべての活動を停止し、ウェブサイトを閉鎖し、法執行機関に報告しました。
- 認可プロセスのリスク： プロトコルは以前にその x402 メカニズムの動作原理を説明しました：ユーザーはウェブページインターフェイスを通じて取引に署名または承認し、認可情報がバックエンドサーバーに送信され、サーバーはその後資金を引き出し、トークンを鋳造します。
- 秘密鍵の露出リスク：チームは「x402scan.comに上线する際、サーバー上に秘密鍵を保存する必要があり、これにより契約メソッドを呼び出すことができます。」と認めています。このステップは、インターネットに接続されている段階で管理者の秘密鍵が露出する可能性があり、権限の漏洩を引き起こす可能性があります。一旦秘密鍵が盗まれると、ハッカーはすべての管理者権限を掌握し、ユーザー資金を再配分することができます。
攻撃が発生する数日前、x402取引の使用量が急増し、10月27日にx402トークンの時価総額が初めて8億ドルを突破しました。主流のCEXのx402プロトコルの取引量は1週間で50万件に達し、前月比で10,780%の増加を記録しました。
セキュリティ提案：GoPlusはユーザーに即座に権限を取り消すよう呼びかけています
今回の漏洩の深刻さを考慮して、GoPlus Security はこのプロトコル上にウォレットを持つユーザーに対し、直ちに進行中の承認をキャンセルすることを緊急に推奨します。セキュリティ会社はすべてのユーザーに対しても警告しています：
- アドレスの確認： いかなる転送を承認する前に、承認されたアドレスがプロジェクトの公式アドレスであることを確認してください。
- 限制された承認額：必要な金額のみを承認し、契約に対して無制限の承認を与えないでください。
- 定期チェック：定期的にチェックし、不必要な権限を取り消してください。
まとめ
x402bridgeが秘密鍵漏洩攻撃を受けた事件は、Web3分野における中央集権コンポーネント（サーバーが秘密鍵を保存するなど）がもたらすリスクについて再度警鐘を鳴らしました。x402プロトコルはHTTP 402 Payment Requiredステータスコードを利用して即時かつプログラム可能なステーブルコイン支払いを実現することを目的としていますが、その実装メカニズムにおけるセキュリティホールは直ちに修正される必要があります。ユーザーにとって、今回の攻撃は高額な教訓であり、あらゆるブロックチェーンプロトコルと相互作用する際には常に警戒を怠らず、ウォレットの権限管理を慎重に行う必要があることを思い出させます。
免責事項：このページの情報は第三者から提供される場合があり、Gateの見解または意見を代表するものではありません。このページに表示される内容は参考情報のみであり、いかなる金融、投資、または法律上の助言を構成するものではありません。Gateは情報の正確性または完全性を保証せず、当該情報の利用に起因するいかなる損失についても責任を負いません。仮想資産への投資は高いリスクを伴い、大きな価格変動の影響を受けます。投資元本の全額を失う可能性があります。関連するリスクを十分に理解したうえで、ご自身の財務状況およびリスク許容度に基づき慎重に判断してください。詳細は
免責事項をご参照ください。
関連記事
ホワイトハウスCEA：ステーブルコインの利回りがコミュニティ・バンクに与える影響はほとんどない。USDCの報酬は引き続き利益を得られる
ホワイトハウスの経済諮問委員会はレポートを発表し、暗号資産企業によるステーブルコインの利回り提供を禁止した場合、コミュニティ・バンクへの影響はごくわずかであり、従来の融資の成長はわずか0.02%にとどまると述べた。レポートは、この禁止令が消費者の競争力のあるリターンを奪い、暗号資産業界と銀行業の対立を反映していると指摘した。この結論は、コミュニティ・バンカー協会が警告しているリスクと比べて大きく異なり、市場や投資家に潜在的な影響を及ぼす可能性がある。
GateNews1時間前
スイス・フランのステーブルコインが加速して実用化へ：UBSグループ、Sygnum Bankなどの機関が参入
スイスの複数の金融機関が共同でスイス・フランの安定通貨サンドボックスのテストを開始し、ブロックチェーンに基づくデジタル決済レイヤーを構築して、安定通貨による支払いと資産移転を促進することを目的としています。このプロジェクトは規制当局の監督下にあり、2026年まで継続し、将来の商用アプリケーションに向けた経験を蓄積します。この取り組みにより、スイスの金融のデジタル化における競争力が高まり、世界の金融システムが「オンチェーン化」へと進化していくことを示しています。
GateNews3時間前
USDコインの取引量が95%急増！Circle幹部が韓国の銀行を相次いで訪問、ステーブルコインの戦いが激化
2026年の韓国の暗号資産市場では顕著な変化があり、USD Coinの取引活発度が急上昇し、米ドルステーブルコインへの需要の増加を反映しています。Circleの最高経営責任者（CEO）が韓国を訪問し、複数の銀行とステーブルコインの活用と連携について協議すると同時に、韓国では規制が強化されてステーブルコインの立法が進み、デジタル資産市場の基盤が整えられます。
GateNews3時間前
あるマルチシグ・ウォレットが過去2か月ほどTWAP方式で500万USDCによりSKYを購入した
あるブロックチェーン上のマルチシグウォレットが、CoW Swap によって毎時 SKY を購入しており、総投入は 500 万枚の USDC を予定しています。これまでに実行済みなのは半分で、243.1 万枚の USDC を支払いました。
GateNews8時間前
Circle、新加坡のパートナー向けにステーブルコイン決済サービスを提供
ゲートニュースのメッセージ。4月8日、Circleは、Circle Mintのシンガポールのパートナー向けにステーブルコイン決済（Stablecoin Payouts）サービスを提供すると発表し、支払いインフラをアジア市場へさらに拡大しました。この機能はグローバル規模向けに設計されており、企業が決済プロセスを自動化し、手作業の複雑さを低減し、USDCなどのステーブルコインをより効率的に使って国境を越えた資金移動を完了できるよう支援することを目的としています。
GateNews9時間前
