クロスチェーンブリッジプロトコルのGarden Financeは、セキュリティ警告を受けて現地時間7月26日にアプリサービスを全面停止しました。ブロックチェーンセキュリティ企業Blockaidは同日、Garden Financeのハッシュタイムロックコントラクト（HTLC）から約45万ドル相当のUSDTが流出したことを公表。影響はEthereum、Base、Arbitrum、BNB Smart Chainの4つのネットワークに及びます。Blockaidは攻撃が進行中の段階で、攻撃者のアドレスと影響を受けたコントラクトアドレスを公開していました。Garden Finance側は、この停止を「問題のあるインフラを隔離し検証するための予防措置」だとしています。韓国メディアのTokenpostはCointelegraphの報道を引用し、問題はsolver（マッチング担当者）の帳簿部分が突破されたことにあると指摘しています——Tokenpost報道原文。
編集部の見解：影響を受けるのはカード残高ではなく、入金経路
まず境界線をはっきりさせておきます。これは発行会社側の事故ではなく、USDT自体の問題でもありません。Tetherの準備金、償還、Omni/TRC20/ERC20各ネットワークのコントラクトには何の変化もありません。45万ドルという絶対規模は、ブリッジ系の事故としては小規模であり、USDTの流通市場価格に観測可能な影響を与えるほどではありません。
USDTカードユーザーに本当に関係してくるのは、**資金源のオンチェーン上の由来（provenance）**です。ほとんどのUSDT仮想カードの入金経路は、取引所またはウォレット → オンチェーン送金 → 発行会社のカストディアドレス、という流れになっています。もしあなたが普段からクロスチェーンブリッジを使って、BaseやArbitrum上の資産を発行会社対応の入金ネットワーク（TRC20またはERC20が多い）に移動させているなら、7月26日前後にGarden Financeを経由した資金は、理論上ごくわずかな確率でマークされたアドレスと間接的なホップでつながる可能性があります。発行会社とそのアクワイアラーの多くはChainalysis / Elliptic / TRMといったスクリーニングツールを導入しており、「マークされたアドレスからNホップ」の入金にヒットした場合、最も一般的な対応はカードの凍結ではなく、入金の一時保留＋資金源の追加説明要求です。
時間軸ごとの妥当な見立ては以下の通りです。
- 7日以内：Garden Financeのアプリが復旧するか、賠償方針を公表するか。このブリッジを組み込んでいるアグリゲーター（1inch、LI.FIなどのルーティング層）は、このルートを一時的に外すでしょう。この間はUSDTのクロスチェーン移動にこのブリッジを使わないでください。
- 30日以内：主要なスクリーニング企業が攻撃者のアドレスクラスターのマーキング拡散を完了させます。あなたの入金がこのブリッジを経由したことがある場合、抽出調査を受ける確率がこの期間中に最も高くなります。
- 90日以内：影響はほぼ収束します。二次事故が起きたり、資金がミキサーに流入して大規模に分散されたことが証明されない限りは。
具体的なカードについての見立て：アジア太平洋ルートを利用し、MPChat内のウォレットからの直接チャージが中心のMPCard（Asia Eliteバリアント）ユーザーで、これまでずっと「取引所での出金→直接チャージ」というルートを使ってきたなら、今回の件はあなたには関係なく、何の対応も不要です。一方、資産を複数のL2に分散させ、ブリッジで資金を集めてからチャージする習慣のあるユーザーは、Bybit CardであれOKX Cardであれ、今週は取引所内部の振替（オンチェーンでの移動もスクリーニングのホップも発生しない）に切り替えることをお勧めします。第三者ブリッジは避けましょう。「入金経路がなぜカード審査に影響するのか」がよくわからない読者は、まずUカードとは何かのカストディアドレスと入金審査に関する部分を参照してください。
過去との比較：小規模・迅速・追跡可能——2022年のブリッジ被害とは異なる
ブリッジ系事故の系譜の中で見ると、2022年のRonin（約6億2500万ドル）、Wormhole（約3億2500万ドル）、Nomad（約1億9000万ドル）は「バリデーターセットまたはメッセージ検証ロジックが丸ごと迂回された」ケースで、規模的にエコシステム全体の流動性危機を引き起こしかねないものでした。2023年のMultichainの問題は運営側による秘密鍵の管理権限喪失によるもので、大量のブリッジ資産（ブリッジ版USDT/USDCを含む）の裏付け償還が失われ、多くのユーザーの手元には償還不能なラップドトークンが残されました——それこそが本当にUSDTカードの入金資産にまで波及する事態です。
今回は以下の3点が異なります。
- 規模が小さい：45万ドルはプロトコルの支払い能力の問題にはなりません。
- 攻撃対象がHTLC＋solver帳簿層であること：これはintent/solverアーキテクチャ特有の記帳信頼レイヤーの問題であり、カストディの秘密鍵紛失ではありません。ユーザーが保有しているのは「裏付けを失ったラップドUSDT」ではありません。
- 対応が迅速：第三者の監視機関が攻撃進行中にアドレスを公開し、プロジェクト側も当日中にサービスを停止しました。
一方で変わらない部分もあります。ブリッジは常にステーブルコインのクロスチェーン移動における最も脆弱な環節です。3年が経ち、攻撃対象はマルチシグやメッセージ検証からsolverとマッチング帳簿へと移りましたが、結論は変わっていません——USDTはクロスチェーン移動をするたびに、マークされうる履歴を一層積み重ねていくのです。
コンプライアンスの視点：グレーゾーンはどこにあるか
規制面では、今回の事件は新たな規制を伴うものではありませんが、既存の傾向を強化することになるでしょう。VASPによる入金資金源の追跡要求は、「直接の取引相手」から「複数ホップの関連性」へと拡大しつつあります。香港のVASP制度と送金ルールにおける資金トレーサビリティ要求については、香港コンプライアンスガイドをご参照ください。シンガポールMAS体制下のDPTサービス提供者に対する同様の枠組みについては、シンガポールコンプライアンスガイドをご覧ください。
明確にしておくべき境界線があります。クロスチェーンブリッジを利用すること自体は、上記いずれの管轄区域でも禁止行為ではありません。これは明確な合法領域です。グレーゾーンとなるのは、入金のオンチェーン履歴が公開されたマークされた攻撃者アドレスと関連性を持つ場合——発行会社は追加説明を求める権利と義務の両方を持ち、説明ができない場合には当該入金を凍結することができます。これは「カードの利用停止」ではありませんが、サブスクリプションの更新に使うつもりだった200 ₮が数日間ロックされる可能性はあります。明確に禁止されているのはただ一つ——盗まれた資産であると知りながら、それを移転または交換する行為です。
今後注目すべきポイント
- Garden Finance公式の事後報告：solver帳簿の具体的な欠陥が開示されるか、影響を受けたユーザー向けの賠償プールが設立されるか（garden.financeおよびそのSNS告知を注視）。
- Blockaidのアドレスクラスター更新：攻撃者のアドレスがミキサーに入るかどうかで、マーキングの拡散範囲が決まります（blockaid.io）。
- 主要ブリッジアグリゲーターのルート復旧時期：ルートの再開は通常、セキュリティ審査通過の市場的なシグナルです。
- 発行会社が入金ポリシーを一時的に調整するかどうか：過去のブリッジ系事故後、一部の発行会社は特定のチェーン（特にL2）の入金抽出審査比率を短期的に引き上げることがありますが、公式発表はほとんどありません。入金ページのネットワーク一覧の変化に注意してください。
編集部からの提言
MPCardを保有し、これまでずっと取引所出金による直接チャージを利用しているユーザー：対応不要です。
過去7日以内にGarden Finance経由でクロスチェーン移動を行い、そのUSDTをいずれかの仮想カードにチャージしたユーザー：パニックになる必要も、自主的に申告する必要もありませんが、その資金の完全な出所を示すスクリーンショット（取引所の出金記録、ブリッジのトランザクションハッシュ、タイムスタンプ）を保管しておいてください。発行会社から問い合わせがあった場合、経路の証明を一度に提出できるユーザーは、ほぼ数営業日以内に凍結が解除されます。
今週USDTのクロスチェーン移動と再チャージを予定しているユーザー：経路を変更してください。 取引所内部のネットワーク間振替、または発行会社対応ネットワークでの取引所からの直接出金を優先し、第三者ブリッジはCEXでの代替経路がないロングテール資産のために取っておきましょう。固定サブスクリプションの支払いにUカードを使う読者は特に注意が必要です——ブリッジ手数料を数ドル節約するために、ChatGPT Plusの更新（公式$20/月）が引き落とし日にロックされてしまうのは、割に合う取引ではありません。
やってはいけないこと：復旧告知が出るまで、Garden Financeのコントラクトへの新規取引を継続しないでください。また、「ブリッジから資産を取り戻すのを手伝う」と称するダイレクトメッセージを一切信用しないでください——過去のあらゆるブリッジ事故において、フィッシングサイトの出現は公式の事後報告よりも常に速いのです。