こんにちは！弐号です。
今回はいわゆる「ブロックチェーンブリッジ（以下、ブリッジ）」という、あるチェーン上で発行されているトークンを別のチェーン上に持っていくことのできるサービスのリスクについて話します。
新興のチェーンでは自身のチェーン上にトークンエコシステムが展開されていないため、他のチェーン (多くは Ethereum メインネットチェーン) のトークンを「ブリッジ」することで、既存のトークンエコシステムを自身のチェーンに取り込むということがよくあります。
しかしながら、こうしたブリッジを介したトークンについてはブリッジのハッキングによってブリッジ上にロックされている資産が持ち去られてしまい、実質的にブリッジ先のチェーン上のトークンが無価値になってしまう可能性があります。
例えば Wormhole (現 Portal Token Bridge) では2022年2月に12万$ETH (当時の価格で$324M相当) が Solana 上のコントラクトのバグによって盗まれてしまったり、同年6月には Harmony チェーン上の事実上の公式ブリッジである Horizon Bridge から $100M 相当のトークンがハッキングによって盗まれてしまいました。
Wormhole の場合には幸いにも運営が補填することでトークン価格が崩壊することはなかったのですが、よほど資金力のある投資家がついていない限りはこういった事態が起きてしまうと事実上ブリッジされてやってきたトークンは無価値になってしまいます。
そこでこの記事ではブリッジされたトークンを利用するのがなぜ危険なのか、またリスクを回避 (ヘッジ) する方法を解説します。
ブリッジとハッキングリスク
ブリッジを介して導入されたトークンは、そのトークンを元のチェーンにブリッジを介していつでも戻すことができることにより、そのトークンの価値を保証しています。
しかし、ブリッジに本来ロックされているべきトークンが盗まれてしまっては、その価格担保がなくなりブリッジ先でのトークンはほぼ無価値になってしまいます。
既に述べたとおり、過去には Solana の準公式ブリッジ (※多くのプロジェクトがこのブリッジを介してやってきたトークンを実質的に「本物である」と解して利用していた) である Wormhole から $ETH が大量に盗まれてしまうという事件もありました。
チェーンやプロジェクトによっては、このようにブリッジを介して外界からやってきたトークンを一種の「本物」として、まるでネイティブトークン――すなわちそのチェーン上で発行され流通しているトークン――かのように扱っていることもあります。
しかし、よく調べてみると実はブリッジを経由してやってきたものであった、ということがありますので取り扱う際には十分な注意とリサーチが必要になります。
一方で、複数のチェーン上でネイティブトークンとして発行されており (つまり、ブリッジ経由ではない)、ブリッジのハッキングリスクはないものもあります。
これは非常にややこしいですね。
例えば $USDT は執筆時点で公式サイトで Algorand、Ethereum、EOS、Liquid Network、Omni、Tron、Bitcoin Cash の標準台帳プロトコルおよび Solana で発行されていると記載されています。
つまり、例えば Ethereum チェーンや Solana チェーン上の $USDT はネイティブ通貨でありブリッジのハッキングリスクはありませんが、例えば Harmony チェーン上の $USDT はブリッジされた通貨でありブリッジのハッキングリスクがあります。
こういった情報はチェーンの公式サイトなどでは確認することが出来ないことが多く、トークンによってはそもそもいくら検索してもそういった情報が出てこないケースも (!) あります。
DeFiで運用を行う場合には、多くの場合何らかのトークンに対してエクスポージャ (現物のロングポジション) を持つことになってしまいますので、自分の使っているトークンがブリッジのハッキングリスクがないかどうかを十分に調査し確認する必要があります。
なぜブリッジはハッキングされてしまうのか？
ブリッジのハッキングはしばしば起こっており、それ自体は残念ながら珍しいことではありません。
ではなぜブリッジはハッキングされてしまうのでしょうか？
これはものによるのですが、多くのブリッジではオンラインのサーバ上に存在する秘密鍵だけでロックしているトークンを送金できるようになってしまっています。
オンラインのサーバ上の秘密鍵だけで移動ができなければ、人間が手動でトークンを送る必要が発生してしまい即時にブリッジするのが難しくなる、などの理由によりオンラインのサーバ上に秘密鍵が置かれるケースが多いと考えられます。
当然、多くのブリッジではサーバを複数用意しマルチシグを構成することで、一つのサーバがハッキングされたとしても安全なように設計されています。
しかし、それらのサーバも突き詰めればオンライン上に秘密鍵を持っていますので、サーバで利用されている共通のソフトウェアの脆弱性や共通で利用されている OS の脆弱性などを突かれてしまえばジ・エンドです。
取引所 (CEX) などでは、払い出しに必要な必要最低限のトークンのみをオンラインのサーバ上に置き、大部分をオフラインのいわゆる「コールドウォレット」に保管することで、万が一ハッキングを受けてしまっても被害が最低限になるように工夫されています。
また例えばビットコインを Ethereum チェーン上で利用できるようにした $WBTC は複数の信頼できる (と思われる) クリプト企業によるマルチシグにて完全コールドウォレット保管がされていますので、 $WBTC も一種のブリッジトークンではありますが比較的安全と言えるでしょう。
