AFX不可解な盗難事件：監査報告書に不備続出、背後に暗号資産取引所Phemexの影

作者：谷昱，ChainCatcher

本日、分散型無期限先物取引所AFXのクロスチェーンブリッジがハッカー攻撃を受け、2400万ドル超の資産が盗み出された。Defillamaに表示されているTVLから見ると、この金額はプロトコル全体が根こそぎ奪われたに等しい。

事件後、AFXはXで、資金の流れを監視し進行中の調査を支援するため、大手セキュリティ企業、エコシステムパートナー、取引所、関係当局と緊密に連携していると発表した。

一、監査報告書は穴だらけ

しかし、AFXの痛ましい教訓は、以前から予兆があったようだ。同プロジェクトは5月にメインネットを正式ローンチし、6月3日に監査報告書を発表した。本日の盗難事件を受け、複数の専門セキュリティ関係者がこの報告書に重大な問題があることを発見した。

当該報告書で、セキュリティ監査会社Zellicは11件の問題を発見したと述べており、そのうち2件はクリティカルな問題、1件は高影響度、6件は中影響度とされている。

「今回の監査はブリッジプロトコルを構成する一部のコンポーネントのみを対象としており、セキュリティ上重要な全パスに対するテストカバレッジが欠如していることを考慮すると、これは特に重要となります。このことは、我々が正当性を検証する能力を制限するだけでなく、AFXが将来的にシステムを安全に保守する能力も制限します。さらに、再監査が緊急に必要となる重要な要因は、我々が当時、リアルタイムまたはローカル環境で実行もしくは対話する能力を持っていなかったことです。これは、機能の検証、エッジケースの探索、静的なレビューを超えたシステム動作評価を行う我々の能力を大幅に制限するものでした。」とZellicは総括で記している。

Zellicの開示によると、アクセスし検証できたコードはブリッジプロトコルの一部のコンポーネントのみに限定され、完全な資産クロスチェーンフローをカバーできず、実際の運用環境でのテストも不可能だった。これは、クロスチェーンブリッジの核心である資産保管、署名検証、権限制御などの重要なパスについて、監査機関が実際には完全な結論を出せないことを意味する。

Zellicはまた、プロジェクト側が報告書に基づき脆弱性修正を完了したとしても、監査機関は修正が適切に実施されたか確認できず、修正過程で新たな脆弱性が混入していないことを保証できないと特別に注意喚起している。これは、当該報告書がブリッジプロトコルの「安全」の証明として実際には機能せず、一部コードに対する段階的なチェック結果に過ぎないことを意味する。

数千万ドル規模の資産を管理するクロスチェーンブリッジにとって、「監査範囲の不完全性」はそれ自体がリスクである。監査機関でさえシステム全体の安全境界を確認できない場合、ユーザーがプロトコルの真の安全性を判断することは実質的に極めて困難となる。

これに対し、MetaMaskのチーフプロダクトマネージャーであり、MyEtherWalletとMyCryptoの創設者であるTaylor Monahan氏は、「AFXのクロスチェーンブリッジに関するこの監査報告書は『非常に恐ろしい』ものであり、大量の『確認済み』の問題が修正されておらず、ユーザーが2400万ドル超をこのプロトコルに移したことが極めて理解できない」とツイートした。

「この監査は、『完全に真のM of Nシステムとは言えないもの』に対して全く責任を負おうとしないチームを強く示唆しています。未処理のエッジケース？問題なし。ユーザー資金の手動操作？問題なし。強奪を防ぐためのチーム介入への完全依存？問題なし。」

Taylor Monahan氏は、AFXは全てのバリデーターと秘密鍵が同一システム上にあるか、単一の個人によって管理されている可能性が極めて高いと推測している。

二、親会社はPhemexか

ChainCatcher記者がAFXチームをさらに調査したところ、同プロジェクトは暗号資産取引所Phemexと密接な関係があり、Phemexが親会社である可能性すら浮上した。

複雑に絡み合うチームメンバーの人脈は、その裏付けとなる証拠の一つだ。AFXのグロース責任者であるKen氏のXアカウントのプロフィールには以前、「Head of Listing @phemex_official」と記載されており、これはPhemexの上場責任者という、あらゆる取引所で最も中核的な職務の一つである。

AFX公式Xアカウントがフォローする別のチームメンバーDamon氏については、これ以上の公開情報はないが、彼のXアカウントは4ヶ月前に作成されAFXアカウントをフォローした後、Phemex取引所のチームメンバー少なくとも3名のXアカウントもフォローしている。

さらに、Phemex取引所の公式ブログはAFXを宣伝・紹介する記事を複数掲載している。例えば『Unlock Your Strength: Discover Why AFX Protocol Transforms Lives』、『The Philosophy of Anti-Fragility: Why AFX Protocol Matters』、『Dive into the Multi-Asset Perps Revolution!』、『Top 5 Perpetual DEXs to Watch in 2026』などだ。最後の記事では、AFX取引所はHyperliquidなど他のPerp DEXよりも先頭に掲載されている。

現在、前述の記事は全てPhemexの公式サイトから削除されているが、Googleでタイトル検索すると、これらの記事へのリンクが依然として検索結果に表示される。

もう一つの関連性を示す証拠は、両プロジェクトのロゴのテーマスタイルが非常に似ており、蛍光グリーンからターコイズグリーンへのグラデーションカラーと、純黒の背景を採用し、視覚的な雰囲気や色調の方向性がほぼ一致していることだ。これは、同一のデザインチームが存在する可能性を反映しているとも言える。

チームの経歴、公式の過去の宣伝、ブランドデザイン、公開された運営上の痕跡を総合すると、AFXとPhemexの間には、通常のエコシステムパートナーをはるかに超えた繋がりが存在する。

最も「考えれば考えるほど恐ろしい」問題は、Phemex取引所も2025年1月に7000万ドル超の盗難被害に遭っており、当時は外部から北朝鮮のハッカーによる犯行の可能性が高いと分析されていたことだ。当時、Phemexチームはユーザー資産に影響はなく、プラットフォームが今回の事件による損失を負担すると発表し、すぐに通常の出金プロセスを再開した。

AFX製品を立ち上げる過程で、Phemexは明らかに事前にリスク分離を準備しており、両者はブランド、株式など複数の面で公開された関連性は存在しない。しかしながら、両者の間の複雑に絡み合った密接な関係を覆い隠すことはできていない。

今、数千万ドルを失う惨劇が再び上演された。これが北朝鮮ハッカーの手口の再来なのか、それとも内部関係者による計画的な収奪なのか、それは更なる証拠と分析に委ねられている。