クロスチェーンステーブルコインプロトコルのAllbridge Coreが、Solana上の流動性プールでフラッシュローン攻撃を受け、約165万ドル（約24億4500万韓国ウォン相当）を盗まれ、プロトコルはその後サービスを停止した。韓国メディアのTokenpost報道によると、セキュリティ企業CertiKとPeckShieldの分析では、攻撃者はまずSolanaのレンディングプロトコルKaminoから約112万ドル規模のフラッシュローンを借り出し、その後Allbridge のUSDC/USDTプールで反復的にスワップを行い、プール内の2種のステーブルコインの比率を人為的に歪め、最終的にアービトラージで利益を確定して撤退した。フラッシュローンとは1回のトランザクション内で「借入―操作―返済」を完了させる仕組みであり、担保なしで大口資金を動かせる――これがDeFiの価格操作の武器として繰り返し使われる理由である。
編集部の解説：このニュースは手元のUカードにどれほど関係するか
まず結論から言うと、管理型（カストディアル）のUSDTカードを使っているなら、今回の事件はチャージや消費にほぼ影響しない。 攻撃を受けたのはAllbridgeのような分散型クロスチェーンブリッジの流動性プールであり、発行会社の管理ウォレットではない。
チャージ経路は2種類に分けて考える必要がある。
- 管理型チャージ：USDTを発行会社が指定するウォレットアドレスに送り、発行会社が資産を管理・清算・換金するタイプ。MPCard Asia EliteのAsia Eliteバリエーション、Bybit Card、OKX Cardはいずれもこのタイプに属する。あなたの資金はAllbridgeのような第三者クロスチェーンブリッジを経由することはない。
- 自己管理型＋クロスチェーンブリッジ経由のチャージ：まず何らかのブリッジを使って資産をAチェーンからBチェーンに移し、その後カードウォレットに送金するケース。もしAllbridge Coreを経由し、かつこの事件のタイミングに当たっていたなら、直接的なリスクがある。
ChatGPTやClaude、クラウドサービスの購入にUカードを使いたいだけの大多数のユーザーにとって、7日以内は何の実感もないはずだ。30日以内にはクロスチェーンブリッジ系プロトコルが一時的に出金を絞ったり、監査頻度を上げたりする可能性がある。90日以内に本当に注目すべきなのは――こうした脆弱性が取引所側での「資金源」審査の厳格化につながるかどうかだ。新しくカードを開設する予定なら、まずMPCardレビューでチャージ経路の説明を確認し、大口資金をチェーン上のどこかに滞留させないようにしよう。
過去事例との比較：フラッシュローンによる価格操作は新しい手口ではない
フラッシュローン攻撃のシナリオはほぼ毎年繰り返されており、手口は非常に一貫している――大口資金を借り入れ → あるプールの価格を歪める → 歪んだ価格でアービトラージする → 1回のトランザクション内で本金を返済する。
- 2021年 PancakeBunny：攻撃者はフラッシュローンを使ってBUNNY/BNBプールの価格を操作し、数千万ドルを奪った。この手口の初期における代表的なケースである。
- 2022年 Beanstalk：攻撃者はフラッシュローンを使い、1回のトランザクション内で巨額資金を借り入れてガバナンス投票を操作し、プロトコルの金庫を直接空にした。損失は1.8億ドルを超えた。
- 今回のAllbridge：規模はかなり小さい（約165万ドル）が、攻撃対象が「単一チェーン内のプール価格」から「クロスチェーンブリッジ両側のステーブルコイン比率」に拡大している。
共通点：いずれもプール内の価格決定機構が、無担保・アトミックなトランザクション内で瞬間的に操作される脆弱性を利用している。相違点：今回はクロスチェーンステーブルコインブリッジを狙ったものだ――USDCとUSDTを同時に受け入れ、かつチェーン間で比率を保つ必要のある構造は、単一チェーン・単一資産のプールよりも本質的に脆弱である。なお、本稿で引用した165万ドル、112万ドルのフラッシュローンといった数字は、いずれも上記Tokenpost報道がCertiKとPeckShieldの分析を伝えたものであり、具体的なオンチェーンの詳細は両セキュリティ企業が事後に発表する正式レポートを参照してほしい。
コンプライアンスの視点：ブリッジ被害とカードの資金源審査
コンプライアンスの観点からは、この種の事件の間接的な影響の方が直接的な影響より注視に値する。クロスチェーンブリッジが被害を受けた場合、盗まれた資金はしばしば分割・ミキシング・クロスチェーン転送され、最終的に取引所や発行チャネルに流入する可能性がある。これにより、全体の経路における「資金源」審査の敏感度が高まる。
アジア太平洋地域のユーザーは、暗号資産の移動に対する各地域の姿勢の違いに特に留意すべきだ。日本はステーブルコインと資金の流れに関する規制が比較的明確で、日本のコンプライアンスガイドを参照できる。香港は持牌取引所の枠組みの下で段階的に規制を強化している。香港のコンプライアンスガイドを参照。現時点でのおおよその境界線は以下の通りだ。
- 明確に許可：持牌取引所または合規的な発行会社経由の管理型チャージ。
- 法的グレーゾーン：個人が分散型クロスチェーンブリッジを使って資産を移動すること――多くの司法管轄区では明確に禁止されていないが、いったん資金が盗難アドレスと関連付けられると、後に取引所側でリスク管理上の凍結を招く可能性がある。
- 明確に高リスク：出所不明かつミキサーを経由した資産を受け取ること。
今後注目すべき重要な節目
- Allbridge公式の事後報告――プロトコルがいつサービスを復旧させるか、賠償があるか、プールの価格決定機構を修正するか。Allbridge公式ウェブサイトとその公式チャネルに注目。
- CertiK / PeckShieldの正式インシデントレポート――両社はオンチェーンアドレスを含む完全な分析を発表する予定で、165万ドルの資金の流れをSolscanで一発で確認できるようになる。
- 盗まれた資金の動向――フラッシュローン攻撃後の30日間は資金の洗浄が最も活発になる時期で、取引所側で関連アドレスへの一括リスク管理が発動する可能性がある。
- 同種のブリッジへの連鎖反応――1つのブリッジが被害を受けると、同様のアーキテクチャを持つクロスチェーンステーブルコインブリッジは通常、数週間以内に類似の脆弱性が検出される。
編集部からの提案
- MPCard Asia Elite、Bybit Card、OKX Cardなどの管理型Uカードを保有しているユーザー：対応は不要。 チャージがAllbridgeを経由しないため、今回の事件はあなたには関係ない。
- クロスチェーンブリッジで自ら資産を移してからチャージする習慣のあるユーザー： 短期的にはAllbridge Coreを経由することを避け、直近に今回の事件に関連するアドレスとのやり取りがないか確認しよう。AI サブスクリプションのチャージを予定しているなら、取引所内チャージ経路を使う方が安心だ――ChatGPT PlusシナリオガイドやClaude Codeシナリオガイドを参照。
- 新しくUカードを申し込む予定のユーザー： チャージ経路が明確な管理型の製品を優先し、まず2026年Uカード Top 5でチャージ方式を比較してから決めよう。大口資金をDeFiプールやクロスチェーンブリッジに長期間留めておかないこと。
クロスチェーンブリッジは常にステーブルコインエコシステムの中で最も攻撃対象になりやすい部分であり、それを「駐車場」ではなく「通過するだけの通路」として扱うことが、この種のニュースが繰り返し与えている同じ教訓である。