まず注目してほしいデータがあります。DefiLlamaのハッキング事件データベースで「クロスチェーンブリッジ」に分類された事件は、2025年の年間で11件、損失額は約3,830万ドルでした。ところが2026年は、現時点ですでに49件、累計で約7億5,300万ドルに達しています。件数は昨年の4倍以上です。この数字は、Liquid Network（約3億2,000万ドル）とKelp（約2億9,300万ドル）という2件の大規模事件が大部分を占めていますが、「事件が起きる頻度」が高まっているのは確かです。
まず、仕組みを説明しましょう。クロスチェーンブリッジでよく使われるのは「ロックしてから発行する」方式です。Aチェーンで資産をコントラクトにロックすると、ブリッジがBチェーン上で同額の「ラップドトークン」を発行します。仕組み全体の安全性は、Bチェーン上のラップドトークン1枚につき、Aチェーン上で実際の資産が1枚分ロックされている、という前提に成り立っています。この対応関係が崩れたとき、問題が起こります。
今週の3つの事例を見てみると、それぞれ異なる箇所に問題があったことがわかります。
1）Cysic（10月17日）：攻撃者はブリッジの背後にあるデータベースの権限とメッセージ処理の脆弱性を悪用し、BNB Chain上で1,000万枚のCYSを不正に発行したと報じられています。約72万7,000ドルを換金したとみられます。コントラクト自体が「ハッキング」されたのではなく、システムがだまされて、正当な指示を受け取ったと思い込んだのです。
2）WAXクロスチェーンブリッジ（10月22日）：WAX側では対応する支払いがないまま5件の出金が行われ、もう一方では通常どおり資金が払い出されました。損失額は7万5,000〜9万ドルと推定されています。翌日に復旧し、1回あたりの上限額が設けられました。
3）Initia（10月23日）：問題はチェーン自体の仮想マシンにあり、裏付けとなる資産のない残高が不正に生成されました。その後、ブリッジ経由で約270万ドルが引き出され、約42分後にチェーン全体が停止されました。
また、ZilliqaのX-Bridgeも現在停止中で、約80万ドルが関係していると報じられています。Iron FishのBase上のラップドトークンも過剰に発行されました。詳細は現在調査中のため、各プロジェクトの公式発表をご確認ください。
3つの事例に共通するのは、ブリッジが認めるべきでない「証明」を受け入れてしまったことです。一般ユーザーにできるのはコードを監査することではなく、リスクを抑えることです。
• プロジェクトの公式サイトからのみ利用し、まず少額でテストして、着金を確認してから大きな金額を送金する。
• ラップドトークン（ブリッジで移動した資産）を長期間保有せず、使い終わったらできるだけ早く元の資産に戻す。
• ブリッジが停止しているときに、第三者のアグリゲーターを経由して迂回しない。多くの場合、同じコントラクト群を呼び出しているためです。
• 大きな金額は、使い慣れていて、監査結果が公開され、上限額が設定されているルートを利用する。必要であれば複数回に分けて送金する。
ブリッジの数が増えるほど、攻撃される範囲も広がります。これは構造上の問題であり、特定のプロジェクトの「運」の問題ではありません。
普段クロスチェーン送金をするとき、まず少額でテストしますか？それとも一度に全額を送るのが習慣ですか？ぜひ、皆さんのやり方を教えてください。
以上は個人的な学習内容のまとめであり、投資助言ではありません。