イーサリアムに関連する2つのクロスチェーンブリッジが、数時間のうちに相次いで被害を受けた。Tokenpostが引用したCryptoSlateの報道によると、セキュリティ企業Blockaidは7月22日21:30(UTC)前後にAFXの脆弱性悪用を検知した――Arbitrum上で稼働するこの分散型取引プロトコルは、USDCカストディブリッジから2415万USDCが引き出され、関連取引はArbitrumチェーン上に記録されている。同時期にVerus–Ethereumブリッジでも損失が発生し、両事件を合わせると約3169万ドル規模になる。一方でB² Networkは、ステーキング契約のアップグレード権限への不正アクセスを受け、トークンステーキングの停止を発表した。この3件に共通するのは、問題が発生したのがステーブルコイン発行体ではなく、資産がチェーン間を「通過」する際の基盤インフラだったという点だ。
編集部の見解：影響を受けたのはカードではなく、カードに至る前の経路
まず結論から言うと、この種の事件が大多数のUSDT仮想カード保有者に与える直接的な影響はゼロである。カードの残高は発行会社のアカウント体系内で管理されており、AFXやB²の契約を経由しない。真のリスクエクスポージャーは入金動作の前に発生する――手数料を節約するために、USDTを取引所からあるL2に引き出し、さらにサードパーティのブリッジで別のチェーンに交換してからカードに入金する、というプロセスだ。この経路上のブリッジ一つひとつが、それぞれ独立した契約リスクとなる。
利用習慣によって3つのグループに分けて見てみよう。
- 取引所内部振替を利用するユーザー（Bybit Cardのような取引所系カードの典型的なシナリオ）：資金は現物口座からカード口座へ直接振り替えられ、オンチェーン処理を一切経由しないため、今回の事件による追加リスクは発生しない。
- TRC20 / 主要パブリックチェーンでの直接入金を利用するユーザー（MPCardのAsia Eliteバリアント、多くの集約型Uカード）：ウォレットから発行会社指定のアドレスへ直接USDTを送金し、サードパーティブリッジを経由しないため、こちらもリスクは無関係。
- L2＋サードパーティブリッジで手数料を節約しているユーザー：これが唯一、経路を見直すべきグループである。Arbitrum上のUSDC流動性は事件後、短期的に圧迫を受けており、クロスチェーン交換のスリッページやブリッジの待機時間が拡大する可能性がある。
想定される時間軸：7日以内に、一部の集約型ウォレットやUカードサービス提供者がArbitrumおよびマイナーブリッジの入金チャネルに対して一時的なリスク管理を行う可能性があり、着金遅延や「このチェーンは現在サポート対象外」といった表示として現れるだろう。30日以内に、AFXが事故の詳細報告と補償方針を公表するか、B²がステーキングを再開するかが、関連エコシステムへの資金還流を左右する。90日以内には、主要な発行会社が「公式サポートチェーン」リストをさらに絞り込む可能性が高い――これは過去2年間、ブリッジ事故のたびに繰り返されてきた傾向である。Uカードの資金フロー構造についてよく分からない読者は、Uカードとは何かにある入金経路とカストディ境界に関する部分を先に確認するとよいだろう。
過去事例との比較：2023年Multichainに近く、2023年USDCデペッグとは異なる
2023年7月のMultichain事件が最も近い参照事例である。同様にブリッジ側の鍵/権限管理が失われ、複数チェーン上のブリッジ資産が瞬時に兌換の裏付けを失い、Fantomなどのチェーン上のブリッジ型ステーブルコインに明確なディスカウントが生じた。今回のAFXの2415万USDCは、カストディブリッジ内の実資産が引き出されたものであり、性質はMultichainと極めて似ている。発行体自体には問題がなく、問題が生じたのは「誰があなたの資金を預かっているか」という部分である。
一方、2023年3月のUSDCデペッグ（シリコンバレー銀行事件、USDCが一時0.87ドル付近まで下落）は別種のリスクだった――準備金側の問題であり、どのチェーンを利用していたかに関わらず、すべての保有者に同時に影響が及んだ。当時はUSDC建てのほぼすべてのカード残高が影響を受けたが、今回はそうではない。
2022年のRonin（6億2500万ドル）やWormhole（3億2600万ドル）と比べると、今回の3169万ドルという規模は大きくはない。しかしB²の「アップグレード権限への不正アクセス」は、より警戒すべきシグナルである。**アップグレード可能な契約の管理者権限は、コードの脆弱性よりも高頻度の攻撃対象になりつつある。**この点は、資金を長期間オンチェーンの利回りプロトコルに置き、定期的に引き出してカード決済に充てているユーザーにとって特に注意すべきものだ。
コンプライアンスの視点：ブリッジはライセンス管理下の環域ではなく、求償の道はほぼ存在しない
ここで境界線を明確にしておく必要がある。ステーブルコイン発行体（Tether、Circle）は、多くの法域ですでにライセンスまたは登録の枠組みに組み込まれつつある。香港の《ステーブルコイン条例》下の発行者ライセンス制度、シンガポールMASのステーブルコイン監督枠組みなどが進行中で、要点は香港コンプライアンスガイドとシンガポールコンプライアンスガイドを参照してほしい。仮想カードの発行会社およびアクワイアラーも、一般的にEMI／決済ライセンスの規制を受けている。
しかしクロスチェーンブリッジは規制の空白地帯にある。発行体でもなければライセンスを持つ決済機関でもなく、多くが純粋なコードとして稼働しており、顧客資金の分別管理義務も、補償準備金も、訴えを申し立てられる監督窓口も存在しない。資金がいったんブリッジ契約から流出してしまえば、頼れるのは2つだけだ――発行体のブラックリスト機能（Circleは指定アドレスのUSDCを凍結する技術的能力を持っているが、実行するかどうかはCircleの判断次第）と、プロジェクト側による自発的な補償方針である。これは「違法」なのではなく、「準拠すべき法律がそもそも存在しない」という状態だ。これをライセンスを持つ発行会社の資金安全性と同一視することが、最もよくある認識の誤りである。
今後注視すべきポイント
- Circleが該当アドレスに対して凍結措置を実行するかどうか――これが2415万USDCのうちどれだけが回収可能かを左右し、通常は事件発生後数日以内に判明する。
- B² Networkのステーキング再開に関する発表――アップグレード権限へのアクセスを受けて、マルチシグを変更したか、タイムロックを導入したかが、安全対策の質を判断する鍵となる。
- AFXの公式な事故報告（post-mortem）――攻撃ベクトルを開示するか、ユーザーへの補償比率を公表するか。
- 主要Uカードサービス提供者のサポートチェーンに関する発表――今後30日以内に、発行会社が特定チェーンの入金窓口をひっそり停止することがあっても、大々的に告知されないことが多いため、入金前に各自で公式ページを確認する必要がある。
編集部からの提案
- **MPCard、Bybit Cardなどの主要カードを保有し、取引所振替または主要チェーンでの直接入金を利用しているユーザー：特に対応は不要。**あなたの資金は今回の事件に関わったいかなる契約も経由していない。
- **サードパーティブリッジで「回り道をしてガス代を節約する」習慣があるユーザー：今月は公式ルートに戻すことを推奨する。**節約できる数ドルの手数料は、ブリッジ契約のリスクに見合わない。OneKey Cardのようなセルフカストディ経路を利用しているユーザーは特に注意が必要だ――セルフカストディはリスクも自己負担を意味し、申し立てられるカスタマーサポートは存在しない。
- **オンチェーンプロトコルに消費予定の資金を置いているユーザー：滞留時間を最小限に抑えること。**今回B²が露呈させたのは管理者権限のリスクであり、コードのバグではないため、「監査レポートを確認する」だけでは選別できない。
- **ChatGPT Plusなどのドル建てサブスクリプションの更新を控えているユーザー：3〜5日前倒しで入金を済ませておくこと。**発行会社が最近一部チェーンに対して一時的なリスク管理を行っている場合、引き落とし当日にカードが使えるかどうかより、余裕を持たせておくほうが安全だ。
一言でまとめれば――これはステーブルコインの問題でも、カードの問題でもなく、「入金前に、誰も責任を負わない経路をもう一つ余分に通ってしまった」という問題である。