Cosmos-based Gravity Bridge halts bridge after reported $5.4M exploit

ポイント

• Cosmos（コスモス）エコシステム上のクロスチェーンブリッジ「Gravity Bridge」が約540万ドル（約7.7億円）規模のエクスプロイトを受けた
• 攻撃の原因は署名鍵（サイニングキー）の侵害と見られており、バリデーター（検証者）が協調してブリッジを緊急停止した
• 現在も調査中で、詳細な被害額や攻撃手法の全容は確定していない
• DeFi（分散型金融）ブリッジへの攻撃は2024〜2025年にかけて連続しており、またも同種のインフラが標的になった

Cosmos系のクロスチェーンブリッジ「Gravity Bridge」が、署名鍵の漏洩とみられる攻撃を受け、約540万ドル相当の資産が不正に抜き出された。バリデーターらはただちに協調してブリッジ機能を停止し、現在も原因究明が続いている。

ブリッジ停止に至るまで何が起きたか

Gravity BridgeはCosmosネットワークと他チェーンの間で資産を移動させるインフラだ。今回の問題の核心は「サイニングキー（署名鍵）の侵害」とされている。これはブリッジの操作権限を持つ鍵が何らかの形で外部に漏れ、攻撃者がそれを悪用して資金を引き出したというシナリオを指す。

署名鍵が取られると、スマートコントラクトのバグを突く従来型の攻撃とは異なり、正規の操作に見える形で資金移動が実行できてしまう。防御側には気づきにくく、被害の発見が遅れるケースが多い。

バリデーターたちは報告を受けて迅速にネットワーク上での合意形成を行い、ブリッジを止めた。Cosmosのアーキテクチャ上、こうした協調行動は比較的取りやすい仕組みになっている。ただし、ブリッジを止めることで通常のユーザーの資産移動も一時的に不可能になる点は見逃せない。

背景・なぜ重要なのか

クロスチェーンブリッジへの攻撃は、もはや「珍しい事件」ではなくなった。

2022年のRonin Bridge（約625億円相当流出）、Wormholeの攻撃（約380億円）、Nomadブリッジの事件と、大型案件が相次いだ。その後も規模を問わなければブリッジ攻撃は継続的に発生しており、Web3インフラの中でも「最も狙われやすい箇所」という認識はセキュリティ研究者の間では共通認識だ。

なぜブリッジが狙われるか。構造上、複数チェーンの資産を一箇所に集約する性質があるためだ。1点を突破すれば大量の資金にアクセスできる。コードの複雑性も上がりやすく、監査をくぐり抜けた脆弱性が残りやすい環境でもある。

Cosmosエコシステムとしては、IBC（Inter-Blockchain Communication）プロトコルという独自のチェーン間通信規格を持つが、Gravity BridgeはEthereumなど外部チェーンとのブリッジも担っており、その接点が今回のリスク露出になった可能性が高い。

筆者がとくに気になるのは「署名鍵の侵害」という部分だ。これがインサイダーによるものか、オペレーション上のセキュリティ（OpSec）の甘さに起因するものかで、エコシステムへの信頼毀損の深刻度がまったく変わってくる。調査結果が待たれる。

市場への含意

540万ドルという数字は、2022年の大型ブリッジハックと比較すれば小さい。だが過小評価は禁物だ。

まず、ATOM（Cosmosのネイティブトークン）への短期的な売り圧力が意識される。ブリッジ事故のたびにエコシステム全体のリスク再評価が起きる傾向があり、関連トークンが引きずられるパターンは過去にも繰り返された。

一方でバリデーターが迅速に停止を実行できた点は、ガバナンス機能が働いた証拠でもある。完全な分散型システムでは被害拡大の阻止が難しいが、Cosmosのバリデーター構造はこういった緊急対応に向いている側面がある。

ブリッジを利用中だったユーザーは、資産の状況と公式チャンネルからの情報を注視すべき局面だ。停止中はブリッジ経由の出金ができないため、ポジション管理において流動性リスクが生じうる。

また、Cosmos系DEX（分散型取引所）やDeFiプロトコルを触っているトレーダーは、接続しているブリッジの安全性を改めて確認するタイミングだろう。「自分が使っているブリッジの署名鍵管理はどうなっているか」——この問いを立てられるかどうかが、DeFiリスク管理の基本になる。

まとめ

Gravity Bridgeは署名鍵侵害とみられる攻撃で約540万ドルの資金を流出させ、バリデーターによって緊急停止された。調査は継続中であり、詳細はまだ明らかになっていない。ブリッジというDeFiインフラの構造的脆弱性が改めて浮き彫りになった事案で、Cosmosエコシステムに関わるユーザーと投資家は動向を引き続き追うべき状況だ。

よくある質問

Q1. Gravity Bridgeとは何か、どんな役割を果たしているのか

Gravity BridgeはCosmosネットワークとEthereumなど他のブロックチェーンを接続するクロスチェーンブリッジのプロトコルだ。ユーザーは異なるチェーン間でトークンを移動させることができ、Cosmosエコシステム内のDeFiサービスと外部チェーンの資産を橋渡しする役割を担っている。独自のバリデーターセットによって運営されており、CosmosのIBCプロトコルとは別の仕組みとして機能している。

Q2. 署名鍵（サイニングキー）の侵害とはどういう意味か

署名鍵とは、ブロックチェーン上でトランザクション（取引）を承認・実行するための暗号鍵のことだ。この鍵を持つ者は、スマートコントラクトのバグを突かなくても、正規の手続きとして資金を動かせてしまう。今回のケースでは、ブリッジの操作権限を持つ鍵が何らかの手段で外部に漏れたとみられており、それが不正出金に直結した。コード監査では発見できないタイプのリスクで、鍵管理の運用体制（OpSec）に問題があった場合に起きやすい。