秘密鍵は失われていないのに、資金は消えた：Bloomの95万ドル補償は、攻撃そのものより注目に値する

Bloom Tradingは本日、調査結果を発表した。被害は9人のユーザー、49個のウォレット、9,408 SOL（約94万7,000ドル）。攻撃の侵入口はサードパーティ製モジュールのRCE脆弱性で、秘密鍵へのアクセスや漏えいはなかった。

この2つの事実を並べると、今日立ち止まって考えるべきことが見えてくる。シードフレーズをどれだけ厳重に保管していても、依存している小さなモジュールから侵入されれば、同じように資金を持ち去られてしまう。

これはもはや珍しい事例ではない。Hackenの第3四半期レポートには、暗号資産業界が2026年第3四半期にハッキングで11億8,000万ドルの損失を被り、その77％（約9億600万ドル）が、侵害されたサードパーティのベンダーや開発ツール、あるいは適用されていないパッチや監査対象に含まれていないコンポーネントに直接起因するという数字がある。つまり、業界のセキュリティ予算の大半は自社のコントラクトの監査に費やされているのに、資金は「他社のモジュール」から失われている。

このニュースでもう一つ注目すべきなのは、Bloomの対応だ。全額補償を約束し、まずシステムを停止してから調査を行い、復旧後はユーザーに本人確認を再度求めた。「まず否定し、次に調査し、最後に深く遺憾の意を表する」ことがほとんど反射的な対応になっている業界では、当日に補償を認め、当日にサービスを停止したこと自体が、希少な資産と言える。

同じ日に起きた別の事例と比べると、違いはより明らかだ。CoinDCXは1,599万USDTの損失を認めたが、CEOはその3日前、X上で関連情報を「誤報」と呼んでいた。最終的に明らかになった原因は、自動集約サービスの障害により、資金が2025年7月に侵害されていた古いアドレスに滞留していたことだった。Bloomは事件当日に「補償する」と明言したが、CoinDCXはまず「何もない」と言い、3日後に「ある」と認めた。

ここが重要だ。次に利用許可に署名する前に、コントラクトアドレスを確認するだけでなく、10秒だけ時間を取って、こう尋ねてほしい――このモジュールの保守担当者は誰か、最近変更されたか、最後に更新されたのはいつか。秘密鍵の安全は最低限の条件だ。しかしその先には、自分では見えていないかもしれない依存関係の連鎖がある。

$SOL #安全 #BinanceSquare