Hyperbridge、エクスプロイトによる損失を250万ドルと修正、当初の推定を10倍過小評価

Hyperbridgeは過去3日間、4月13日の損失による被害は管理可能であると市場に伝えてきました。しかし、本日（4月16日）の復旧アップデートで、当初23万7,000ドルと計算されていた損失見積もりが、実際には約250万ドルであったことが明らかにされました。

この約10倍の再計算は、回復の見通しが立たないマルチチェーン事件であるという事実と相まって、エクスプロイトの深刻さを一段階引き上げました。さらに、Hyperbridgeが4月1日に「ラザルスグループ」にハッキングされたと主張したエイプリルフールのジョークの直後でもありました。

どのように237,000ドルが2.5百万ドルになったのか？

ニュースソースで流布していた23万7,000ドルという数字は、イーサリアム上で観測可能なブリッジされたPolkadot（DOT）トークンの損失のみに基づいて算出されていました。結果として、それは23万7,000ドルが消えるほぼ1時間前からすでに実行されていた攻撃の、最も目に見える部分に過ぎませんでした。

Hyperbridgeの完全な 復旧アップデートブログ 投稿によると、エクスプロイトは2つのフェーズで発生しました。最初のフェーズは静かな抽出で、2番目のフェーズが始まる前に、関連するTokenGateway契約からほぼ245 ETHが移動されました。

1時間後、偽のクロスチェーンメッセージがHyperbridgeのMerkle Mountain Range証明検証ロジックを回避し、ハッカーにブリッジされたDOTトークン契約の管理者権限を与えました。これにより、ハッカーは約10億個のブリッジされたDOTトークンをミントし、その後他の分散型取引所にダンプしました。

攻撃の確定された根本原因は、 BlockSec Phalcon 2年以上前に書かれたHyperbridgeのHandler V1契約のVerifyProof()関数における境界チェックの欠如でした。

当初の23万7,000ドルという数字は、影響を受けた4つのEVMチェーン全体で稼働していたインセンティブプールからの損失を考慮していませんでした。

Hyperbridgeがイーサリアム、Base、BNB Chain、Arbitrum全体で攻撃者の活動を記録した後、 2フェーズ構造 および関連するプール損失により、ハッキング時のETHおよびDOTの価値で換算した当初の合計は約250万ドルに修正されました。

回顧すると最悪のエイプリルフールのいたずら

Hyperbridgeのエクスプロイトは、Hyperbridgeが北朝鮮のラザルスグループがプロトコルから3,700万ドルを盗んだと主張するエイプリルフールのジョークを投稿したちょうど12日後に発生しました。この発表は、「HyperBridgeはハッキングされない」と説明した削除されたブログ投稿にリンクされていました。

歴史的に、Hyperbridgeは、クロスチェーンブリッジに対するフルノードセキュリティを提供するプロofsベースの相互運用性レイヤーとして位置づけてきました。これは、4月13日のハッキングで使用されたのと同じメカニズムです。

本日のアップデートで、Hyperbridgeチームはそれを直接、ためらいなく取り上げました。「このエクスプロイトが明確にしたことは、高価な代償を払ってですが、検証ロジックにはスタックのすべてのレイヤーでより頻繁な監査と敵対的テストが必要だということです。」

Hyperbridgeのユーザーはいつ補償を受けられるのか？

Hyperbridgeは現在、盗まれた資金の大部分がチェーン上でBinanceに追跡されたと確認しましたが、進行中の調査を損なわないよう、具体的な詳細は明らかにしないと述べています。

プロトコルは、復旧が失敗した場合の対応も開示しました。他のチャネルを通じて影響を受けたユーザーが補填されない場合、Hyperbridgeは残余の損失をカバーするためにBRIDGEトークンの構造化配分を行うことにコミットしています。

配分スケジュールと評価の詳細は、エクスプロイトから1年後の2027年4月13日に開示されます。

Token Gatewayの運用は、以下の3つの条件が満たされるまで一時停止されます：脆弱性が完全にパッチされていること、パッチが独立して監査されその報告書が公開されていること、および追加の安全対策が稼働していること。

HyperbridgeのIntent Gatewayおよびその上に構築された製品は、エクスプロイトの影響を受けておらず、正常に稼働し続けています。