2023年11月9日、AnkrのEthereumクロスチェーンブリッジでセキュリティ侵害が発生し、5件の不正出金が行われ、総額で30万3千ドルを超える損失が確認されたと、ブロックチェーン監視企業Blockaidが報告した。攻撃者は11月3日にOptimism上で行ったわずかな入金を再利用し、Ethereumネットワーク上で複数の異なるトークンの出金を要求した模様である。

ETH / USD
出典：CoinGecko。価格は参考値です。

攻撃の経緯

Blockaidの分析によると、攻撃者は既にEthereum上で償却済みの0.0044024803 ankrETH入金を参照した。受領データ（受取人、トークン種別、金額）を変更した5件の新規出金リクエストを送信することで、ブリッジの認可ロジックが転送を承認した。出金は東部標準時の午前3時09分から3時12分の間に行われ、すべて単一の宛先ウォレットへ送られた。

取得された資産と概算価値

損失の最大部分は約82.91 ankrETHで、価値は約216,370ドルと見積もられる。攻撃者はさらに515,206 ankrPOLトークン（約56,372ドル）と約7.98 百万AN​​KRトークン（約30,857ドル）を引き出した。追加で5,372.25 aMATICbと0.8196 aETHbも転送されたが、報告時点でEtherscan上に市場価格が無いため、30万3千ドルの総額には含まれていない。

対応と背景

インシデント中、Ankrのパブリック一時停止フラグは常にfalseのままで、同社は侵害について公に言及せず、RPCサービスや他の製品への影響も確認していない。Ankrは2023年8月にも、ankrFLOWコントラクトの脆弱性により約41万ドルの損失を被ったことがある。2023年にはCysicのBNB Smart ChainブリッジやXRPLブリッジ運営者への攻撃など、同様のブリッジ攻撃が相次いで報告されており、クロスチェーン取引の検証課題が浮き彫りになっている。

今後の注目点

投資家や開発者は、Ankrが公式に出す修復策や被害者への補償、追加のセキュリティパッチの展開情報を注視するだろう。規制当局やセキュリティ研究者も、ブリッジの署名プロセスや受領検証、その他コンポーネントに問題があるかどうかを検証し、将来のクロスチェーンブリッジ設計基準に影響を与える可能性がある。