【事件の経過】
ビットコインのサイドチェーンLiquid Networkは9月6日未明、約3.2億ドル規模の脆弱性（バグ）攻撃に遭遇した。連合（アライアンス）ウォレットに元々保管されていた4,200枚のビットコインのうち、わずか数時間で4,000枚が送金された。開発チームのBlockstreamは後に、問題の根本原因はサイドチェーンのコードであるElementsにあるソフトウェアの不具合であり、秘密鍵の漏えいではないと確認した。この不具合によってシステムが存在しないはずの余分なビットコインを「勝手に」生成してしまい、攻撃者は公式に承認された取引プラットフォームSideSwapを通じて、この「水増し」されたコインと実際の資産を混ぜ合わせて送金した。SideSwapは事後、どれが脆弱性によって生成されたものか、どれが本物かを自分たちにも判別できないと認めている。
【ホワイトハットの対応と資金の返還】
攻撃者は事後、取引に内蔵された $BTC のOP_RETURNメッセージを通じてBlockstreamと連絡を取り、自称ホワイトハッカーであり、3,400枚のビットコイン（約2.7億ドル）を返還した。そして自分は598.5枚（約4,700万ドル）を「脆弱性発見の報酬」として手元に残した。このような「自己申告して一部返還する」処理は、近年のいくつかの大規模なクロスチェーン・ブリッジの脆弱性事件では珍しくなく、ある意味では攻撃者がプロジェクト側の対応を試すと同時に、刑事的な窃盗として直接断定されることを避けるための定番パターンになりつつある。
【停止範囲と資産への影響】
Liquid Networkはブリッジ接続ノードを停止し、各取引所に対してL-BTC（サイドチェーン版のビットコイン）の入出金の一時停止を要請した。これにより、サイドチェーン全体は実質的に停止状態に入った。注目すべきは、Liquid上で発行されている他の資産──$USDTを含むステーブルコイン、およびブラジル・レアル建てのDePix──は直接的な影響を受けていない点だ。問題はL-BTCのpeg-out（サイドチェーン資産をメインネットのビットコインに換える）メカニズムそのものに限定されており、サイドチェーン全体の取引処理がすべて不調になったわけではない。Blockstreamは9月7日遅くに、脆弱性は修正済みだと確認し、攻撃者に残り資金を速やかに返還するよう呼びかけたが、現時点では公式が完全な技術的な根本原因レポートを公表していない。
【ビットコインへの信頼度が示す意味】
今回の事態が狙ったのはサイドチェーンとブリッジ層であって、ビットコインのメインネット本体のコンセンサスメカニズムではない。しかし市場が抱く「ビットコイン周辺のインフラ」に対する信頼の前提は、メインネットよりもはるかに脆い。過去数年、クロスチェーン・ブリッジやLayer2に関わらず、脆弱性による被害額が億ドル規模になるのは、この分野ではほぼ常態のコストになっている。多くのトレーダーはこの手の事件を、メインネットの安全性とは切り分けて捉える。ビットコインそのもののマイニング難易度調整やコンセンサス機構はまったく触れられていない一方で、ビットコインの上に構築されたセカンドレイヤーのインフラは、メインネット本体よりも複雑で、攻撃面も広い。機関投資家がサイドチェーン／ブリッジのソリューションを評価する際に、攻撃面を特に重視する理由はまさにここにある。
【今後の観察ポイント】
今後は2点を見る必要がある。1つはBlockstreamが完全な根本原因分析を公表するかどうか（現時点ではElementsのコードのソフトウェア不具合であることだけ確認されており、詳細は非公開）。もう1つは、攻撃者が手元に残した598.5枚のビットコインを最終的にすべて返還するかどうかだ。今回の事件は、今年の初め頃に起きた数件のクロスチェーン・ブリッジの脆弱性事件と異なり、攻撃者が資金の9割以上を自発的に返還し、公開でコミュニケーションも取っている。こうした対応が、今後同様の事件において取引所や規制当局から「許容できる脆弱性開示のやり方」と見なされるかどうかが、今後の処理の前例に影響を与える可能性がある。