2026年7月22日から23日にかけての6時間で、3つのプロトコルから合計3,555万ドル相当の資産が流出した。最も注目すべき点は金額ではなく、3件のいずれにおいても暗号化技術そのものは一切破られていないという事実だ。ブロックチェーンを守る数学的なコードは完璧に機能していた。崩壊したのは、それ以外のすべてだった。
何が起きたのか
7月22日夜から23日未明にかけ、互いに無関係と見られる3件の攻撃が相次いだ。最大の被害はArbitrum上で運営される分散型デリバティブプラットフォームのAFXで、Blockaidとlookonchainのデータによると約2,415万ドルが失われた。数時間後、VerusとEthereumを結ぶブリッジが被害を受け、ETH・ラップドBTC・複数のステーブルコインで合計約754万ドルが流出。最後にB² Networkが約386万ドルを失った。
3つの攻撃、6時間、3,555万ドル
プロトコル別の推定損失額、2026年7月22日〜23日。出典: Blockaid、Lookonchain
推定合計：わずか6時間の間に約3,555万ドル。
Verusの事例：同じ扉を二度開けた
言い換えると、最も深刻な教訓を与えてくれるのがVerusのケースだ。ブリッジとは、通常は互いに通信できない2つのブロックチェーン間で価値を移動させる仕組みである。一方でトークンをロックし、他方でそれに対応する請求権を発行する。セキュリティはただひとつの検証に依存する。すなわち、片側での引き出しが、反対側にロックされた資金と本当に対応しているかどうかだ。
Verus，Ethereum Bridge Suffers Second Exploit in Two Months, $7.54M Drained
，Wu Blockchain (@WuBlockchain) July 23, 2026
Blockaid detected a new exploit targeting the Verus，Ethereum Bridge, with an attacker abusing the bridge's import path to trigger unbacked Ethereum-side payouts and drain approximately $7.54 million in… pic.twitter.com/eNGo8EILT7
攻撃者はブリッジのインポートパスを悪用し、Verus側に担保のないEthereum側の支払いを発動させた。ブリッジは存在しない債権に対して実際の資金を放出したのだ。しかし本質的な問題はそこではない。攻撃を検知したセキュリティ企業Blockaidによると、今回使われたのは5月に約1,158万ドルが盗まれた際とまったく同じコントラクト、同じ侵入経路、同じ種類の脆弱性だった。2カ月後も、同じ扉は開いたままだった。
壊れたもの、壊れなかったもの
ここがこの業界が認めにくいポイントだ。3件の攻撃はいずれも暗号化を突破していない。B² Networkの場合。攻撃者はステーキングコントラクトのアップグレード権限を掌握した。何かを強制したわけではなく、単に「正しい鍵」を持っていた。他の事例でもコードは指示通りに正確に動作した。問題は、本来許可されるべきでないことを要求できる論理構造が存在していたことだ。
弱点は数学ではない
暗号資産システムが実際に壊れる場所
- 耐えたもの：暗号化技術。3件のいずれも破られていない。
- 崩壊したもの：検証ロジック。担保のない引き出しを通過させた。
- 崩壊したもの：鍵と管理権限の管理体制。
- 崩壊したもの：ガバナンス。2カ月前から既知の脆弱性が放置された。
この構図は、日本の金融庁（FSA）が繰り返し指摘してきた論点と重なる。ブロックチェーン自体の堅牢性と、その上で動くアプリケーション層のセキュリティは別問題だ。業界はブロックチェーンを「安全の代名詞」として売り込み続けているが、ブロックチェーンが保護するのは自身が直接触れる層だけだ。その上に積み重なるブリッジ、アップグレード可能なコントラクト、管理用ウォレットは、普通の人間が書いた普通のソフトウェアであり、普通の人間が管理している。
新たな変数：攻撃の自動化
これを単なる不運な連続とは見なせない要素がある。こうしたインシデントを追うアナリストたちは、侵害された鍵と不適切な権限管理が依然として大規模盗難の主要因であり、AIを活用した侵入ツールの能力が急速に向上していると指摘する。
つまり、既知の脆弱性パターンを自動スキャンするコストは今日、かつてと比べて格段に低い。Verusのケースのように公知の欠陥が何カ月も放置されれば、時間は防御側の味方ではなくなる。6時間で3つの別々のプロトコルが攻撃されたのは偶然かもしれない。しかし同時に、間違った扉を見つけるスピードが修正するスピードをはるかに上回るようになった業界の現状を映している。
🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum.
，Blockaid (@blockaid_) July 23, 2026
An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves.
More details in 🧵
投資家と開発者が今すべき問い
投資家であれ開発者であれ、派手ではないが具体的な結論を引き出すべきだ。ブリッジはエコシステム全体で最も脆弱な地点であり続けている。大量の資金を集中させ。その安全性はわずかでも誤れば蛇口を開いてしまう検証機構に全面的に依存しているからだ。異なるチェーンを接続するプロトコルに資産を預ける前に。以下の3点を確認する価値がある。
- アップグレード権限を誰が管理しているか。
- 直近の独立した監査が存在するか。
- 過去の脆弱性が本当に修正されたのか、それとも一時的に塞がれただけなのか。
今回の本質的なニュースは「3,555万ドルが盗まれた」ことではない。盗むために何も壊す必要がなかったという事実だ。攻撃者は2カ月前から誰かが開けたままにしていた扉を見つけただけだった。日本の仮想資産交換業者に対してJVCEA（日本暗号資産取引業協会）がセキュリティ基準の遵守を求めている背景には、まさにこうしたリスクがある。ブリッジを利用する際は、監査履歴と権限管理の透明性を自ら確認する習慣が、今後の資産保全において不可欠になる。
