分散型仮想通貨取引所（DEX）プロトコルであるTHORChainが、約1000万ドル（日本円で約15億円）相当の仮想通貨が盗難された疑いのあるエクスプロイトを受け、取引を一時停止しました。この事件は、自らを「止められない（Unstoppable）」と称していたプロトコルのセキュリティと分散化の理念に大きな疑問を投げかけています。ユーザー資金への直接的な影響は否定されているものの、今回の事態は分散型金融（DeFi）が直面する潜在的な脆弱性と、進化するサイバー攻撃の脅威を浮き彫りにしています。
THORChainとは？分散型クロスチェーン取引の仕組み
THORChainは、複数のブロックチェーンを横断してネイティブトークンを直接交換できる分散型プロトコルです。一般的なクロスチェーン取引では、トークンを別のチェーン上で利用するために「ラッピング」（元のトークンを担保に、別のチェーンで利用できる新しいトークンを発行するプロセス）が必要となることが多いですが、THORChainはこのラッピングを不要とすることで、より直接的で安全な取引方法を提供すると主張していました。
このプロトコルは、流動性プールと閾値署名スキーム（Threshold Signature Scheme、TSS）を組み合わせて機能します。TSSは、複数の参加者が共同で秘密鍵の一部を管理し、一定数以上の参加者が署名することでトランザクションを承認する仕組みです。これにより、単一のエンティティが全ての資金を管理するリスクを減らし、セキュリティを高めることを目指していました。THORChainは、その設計思想から「止められない」システムとして宣伝され、関連するウォレットも「Unstoppable Wallet」と名付けられるほど、その堅牢性を強調していました。
仮想通貨取引所THORChainで発生した盗難事件の全貌
今回の事件は、THORChainの「Asgard Vault」と呼ばれる主要な資産管理システムの一つで不審な活動が確認されたことから始まりました。セキュリティ研究者によって金曜日に最初に特定されたこの異常な動きは、プロトコルのクロスチェーン流動性管理に使用されるTSSに起因する脆弱性に関連しているとされています。この脆弱性が悪用され、Asgard Vaultから不正なアウトバウンドトランザクションが実行されました。
当初の被害額は約1070万ドルと報じられましたが、その後の修正で約1100万ドル（約16.5億円）に達したとされています。盗難された資産は、ビットコイン（約36.75BTC）のほか、イーサリアム（Ethereum）、BNBチェーン（BNB Chain）、Base、アバランチ（Avalanche）、ドージコイン（Dogecoin）、ライトコイン（Litecoin）、ビットコインキャッシュ（Bitcoin Cash）、XRP Ledgerといった少なくとも9つの異なるブロックチェーンにわたる多岐にわたる仮想通貨でした。
THORChainの自動システムは、この異常な挙動を検知すると、さらなる被害拡大を防ぐために緊急措置を発動しました。これには、取引、署名、およびグローバルチェーン操作の一時停止が含まれました。THORChainチームは、この事件によるエンドユーザーの資金への影響はないと主張していますが、プロトコルの中核機能が停止したことは、その「止められない」という主張とは裏腹の現実を突きつけました。
脆弱性の詳細：閾値署名スキーム（TSS）とAsgard Vault
今回のハッキングで悪用されたとされるのは、THORChainのAsgard Vaultと、その基盤技術である閾値署名スキーム（TSS）です。Asgard Vaultは、THORChainエコシステム内の多様な仮想通貨資産を安全に保管・管理するために設計された、マルチシグネチャ（複数署名）のような役割を果たすシステムです。TSSは、秘密鍵を複数の断片に分割し、それらをネットワーク上の複数のバリデータに分散して保持させます。トランザクションを実行する際には、これらの断片のうち一定数（閾値）が集まることで初めて署名が生成され、承認される仕組みです。
このTSSは、単一の攻撃者が秘密鍵全体を盗むことを困難にするため、理論上は高いセキュリティを提供します。しかし、実装の複雑さや、複数の参加者（バリデータ）がオンラインで協調して動作する必要があるという特性が、新たな脆弱性を生む可能性があります。今回の事件では、このTSSの実装、特にクロスチェーン流動性の管理部分に何らかの欠陥があったことで、攻撃者が不正な署名を生成し、Asgard Vaultから資金を流出させることが可能になったと推測されています。
専門家が指摘するMPCの複雑性とAIの脅威
今回の事件を受け、業界の専門家からは、THORChainが採用するマルチパーティ計算（MPC）スキームの複雑性と、それがもたらすセキュリティリスクについて懸念が表明されています。
仮想通貨ハードウェアウォレットメーカーLedgerのCTOであるチャールズ・ギルマン氏は、X（旧Twitter）上で、AI技術の進化が脅威モデルを変化させていると指摘しました。同氏によれば、フルソフトウェアノード、複雑なGoスタック、P2Pネットワーク、カスタム署名デーモン、そして新しい参加者を定期的に受け入れるチャーンプロトコルといった要素を組み合わせたシステムは、これまで侵害が困難でした。しかし、大規模言語モデル（LLM）を活用した脆弱性発見やエクスプロイト生成の技術が進歩することで、複数のバリデータのうちの一つを侵害するハードルが急速に低下していると警鐘を鳴らしています。
また、BlockstreamのCEOであり、ビットコインの生みの親であるサトシ・ナカモトの候補の一人とも目されるアダム・バック氏も、インタラクティブなマルチパーティ暗号技術は本質的に脆弱で複雑であると指摘しています。特に、MPC ECDSA（楕円曲線デジタル署名アルゴリズム）に必要な暗号技術は新しく、安全に機能させるには複雑すぎるとの見解を示しました。同氏は、適応型暗号攻撃、実装や暗号のバグ、そしてレビューできるほど理解している専門家の少なさ、さらにはシャード（断片）がすべてソフトウェアサーバー上でオンラインになっている点を問題視しています。
これらの専門家の意見は、分散型システムが提供するセキュリティの約束と、その複雑な実装が抱える現実的なリスクとの間に大きなギャップがあることを示唆しています。特にAI技術の進化は、サイバーセキュリティの風景を根本から変えつつあり、これまで安全とされてきたシステムも新たな脅威にさらされる可能性が高まっています。
過去の仮想通貨ハッキング事例と業界の課題
THORChainの事件は、仮想通貨業界で頻発するハッキングや技術的な問題の最新事例に過ぎません。過去1年だけでも、多くのブロックチェーンネットワークや分散型金融（DeFi）プロトコルが、問題発生時に従来の金融機関と類似した対応を取らざるを得ない状況に直面してきました。
例えば、昨年にはBalancerが約1億2000万ドルのエクスプロイトを受け、複数のブロックチェーンが一時的に停止しました。また、最近ではイーサリアムのレイヤー2ネットワークであるArbitrumが、KelpDAOのエクスプロイト後にハッキングされた資金7100万ドル（約3万ETH）を、ネットワークのセキュリティ評議会が管理するマルチシグウォレットに凍結したことで批判を浴びました。これはオンチェーンガバナンス投票ではなく、評議会の緊急権限によるオフチェーンでの調整された動きでした。これらの事例は、分散型を謳うプロジェクトであっても、緊急時には中央集権的な介入が行われる現実を示しています。
さらに、昨年にはAmazon Web Services（AWS）のダウンタイムにより、複数のブロックチェーンやDeFiプロトコルが一時的にアクセス不能になる事態も発生しました。これは、基盤となるインフラストラクチャが中央集権的であることのリスクを浮き彫りにしました。
ステーブルコインの分野でも、集中化の問題が顕在化しています。Tetherは最近、イラン政権に関連付けられた3億4400万ドル相当のUSDTステーブルコインを凍結しました。イラン政権が制裁回避のためにUSDTを利用していたと報じられており、ステーブルコイン発行者が持つ強力な管理権限が明らかになりました。現在、Circleなどのステーブルコイン発行者は、独自のブロックチェーン「ステーブルチェーン」の開発を進めており、仮想通貨技術スタックのさらなる制御を目指しています。
仮想通貨プロジェクトに対するエクスプロイトは、今年4月には過去最高の水準に達し、ほぼ毎日1件のペースで報告されています。これらの事件の大部分は、北朝鮮の工作員によるものとされており、北朝鮮政権はこれらの疑惑を否定しています。これらのセキュリティと集中化の問題は、ビットコイン以外の仮想通貨ネットワーク、特にイーサリアムの存続可能性に影響を与えていると、JPMorganのアナリストレポートでも指摘されています。アナリストは、2023年以降、広範な市場回復にもかかわらず、イーサとアルトコインがビットコインに対してパフォーマンスが劣り続けていることを強調しています。
「Unstoppable」の理念と現実のギャップ
THORChainは、その設計思想とコミュニケーションにおいて「Unstoppable（止められない）」という言葉を頻繁に用いてきました。これは、分散型ネットワークが単一の主体によって停止されたり、検閲されたりすることなく、常に機能し続けるという理想を表現するものです。しかし、今回の約1000万ドル規模の盗難事件を受けて、ネットワークのバリデータは協議の上、取引を停止するという決定を下しました。この事態は、「止められない」という理念と、現実のセキュリティインシデント対応との間に存在する大きなギャップを露呈させました。
分散型金融（DeFi）の魅力は、仲介者なしに透明で公正な金融サービスを提供することにありますが、同時にその複雑な技術スタックは、予期せぬ脆弱性を生み出す可能性があります。そして、ひとたび重大な脆弱性が発見された場合、さらなる被害を防ぐためには、中央集権的な判断に近い形でネットワークを停止せざるを得ないのが現状です。これは、DeFiが「真に分散型であること」と「現実的なセキュリティ対策を講じること」の間で、常にトレードオフに直面していることを示しています。
今回のTHORChainの事例は、DeFiプロジェクトがその理念を実現するために、技術的な堅牢性だけでなく、緊急時の対応プロトコルやガバナンスの仕組みについても、より洗練されたアプローチが求められていることを示唆しています。
ユーザーが仮想通貨取引で考慮すべきセキュリティ対策
今回のTHORChainの事件は、分散型取引所（DEX）を利用するユーザーにとって、セキュリティリスクへの意識を改めて高めるきっかけとなります。DEXは中央集権型取引所（CEX）とは異なるリスクプロファイルを持つため、以下の点に留意することが重要です。
- リスクの理解と自己責任: DEXは革新的な技術を提供しますが、スマートコントラクトの脆弱性やプロトコルの設計上の欠陥によるリスクが常に存在します。自己資金の管理は自己責任であり、リスクを十分に理解した上で利用することが不可欠です。
- ハードウェアウォレットの活用: 資金をDEXの流動性プールに預け入れる場合でも、日常的に使用しない多額の資産は、オフラインで秘密鍵を管理できるハードウェアウォレットに保管することを強く推奨します。これにより、オンライン上のウォレットや取引所がハッキングされた際の被害を最小限に抑えることができます。
- 情報の収集と確認: 利用しているDEXやプロトコルに関する最新のセキュリティ情報、監査レポート、コミュニティの議論などを定期的に確認し、潜在的なリスクを早期に把握するよう努めましょう。
- 多要素認証の徹底: ウォレットや関連サービスで利用可能な多要素認証（MFA）を必ず設定し、不正アクセスに対する防御を強化してください。
- 少額からの利用と分散投資: 初めて利用するDEXや新しいプロトコルでは、まずは少額から試すことをお勧めします。また、一つのプロトコルに多額の資金を集中させるのではなく、リスクを分散させることも重要です。
よくある質問
THORChainのクロスチェーンスワップはどのように機能する？
THORChainは、異なるブロックチェーン上のネイティブトークンを直接交換できる分散型プロトコルです。通常、クロスチェーン取引では「ラッピング」というプロセスが必要ですが、THORChainはこれを不要とし、より直接的でセキュアな方法だと主張していました。流動性プールと閾値署名スキーム（TSS）を活用し、複数のブロックチェーン間で資産を管理します。
今回のTHORChainハッキングはなぜ発生したのか？
今回のハッキングは、THORChainの「Asgard Vault」と呼ばれる資産管理システムに存在する脆弱性が悪用された可能性が高いと報じられています。特に、クロスチェーン流動性の管理に使用される閾値署名スキーム（TSS）に問題があったと見られています。これにより、不正なアウトバウンドトランザクションが実行され、約1000万ドル相当の仮想通貨が流出しました。
ユーザーの資金は今回の事件で影響を受けたのか？
THORChainチームは、今回の事件でエンドユーザーの資金は影響を受けていないと発表しています。プロトコルの自動システムが異常な挙動を検知し、さらなる被害を食い止めるために取引や署名、グローバルチェーン操作を緊急停止したと説明されています。
分散型取引所（DEX）は中央集権型取引所（CEX）よりも安全ではないのか？
分散型取引所は理論上、単一障害点が存在しないため中央集権型取引所よりも安全であるとされています。しかし、今回のTHORChainの事例のように、プロトコルのコードやスマートコントラクトに脆弱性がある場合、大規模なハッキング被害が発生するリスクがあります。また、緊急時には中央集権的な判断で取引が停止されることもあり、分散化の理念と現実の運用との間にギャップが存在することが指摘されています。
まとめ：分散型金融の未来とセキュリティの重要性
THORChainで発生した約1000万ドル規模の盗難事件は、分散型金融（DeFi）エコシステムが直面するセキュリティ上の課題を改めて浮き彫りにしました。自らを「止められない」と称していたプロトコルが、緊急停止せざるを得なかった事実は、DeFiの理想と現実の間の複雑な関係を示しています。特に、AI技術の進化がサイバー攻撃の脅威モデルを変えつつあるという専門家の指摘は、今後のセキュリティ対策において、より高度な防御メカニズムと継続的な警戒が必要であることを示唆しています。
過去の多くの事例が示すように、仮想通貨業界は常にハッキングの脅威にさらされており、分散型を謳うプロジェクトであっても、その運用には中央集権的な側面が不可避的に伴う場合があります。JPMorganのアナリストレポートが指摘するように、セキュリティ問題はビットコイン以外のアルトコインのパフォーマンスにも影響を与えかねません。分散型金融が持続的に発展し、より広範なユーザーに受け入れられるためには、技術的な堅牢性の追求はもちろんのこと、緊急時の透明性のある対応、そしてユーザー自身のリスク管理意識の向上が不可欠となるでしょう。
情報元：Gizmodo
