AFX 奇妙な盗難事件：監査報告は穴だらけで、背後の会社は暗号取引所 Phemex の疑いがある

著者：谷昱，ChainCatcher

今日、分散型永続契約取引所 AFX のクロスチェーンブリッジがハッキングされ、2400万ドル以上の資産が盗まれました。Defillama に表示されている TVL によれば、この金額はプロトコル全体が一掃されたことに相当します。

事件発生後、AFX は X で、主要なセキュリティ会社、エコシステムパートナー、取引所および関連当局と密接に協力し、資金の流れを監視し、進行中の調査を支援していると発表しました。

一、監査報告書の問題点

しかし、AFX の痛ましい教訓は早くから兆候があったようです。このプロジェクトは 5 月に正式にメインネットを立ち上げ、6 月 3 日に監査報告書を発表しました。今日の盗難事件の後、多くの専門のセキュリティ専門家がこの報告書に重大な問題があることを発見しました。

その報告書の中で、セキュリティ監査会社 Zellic は 11 の問題を発見したと述べており、その中には 2 つの重要な問題があり、1 つは高い影響を持ち、6 つは中程度の影響を持つとされています。

"今回の監査はブリッジプロトコルを構成する一部のコンポーネントのみをカバーしており、全てのセキュリティクリティカルパスのテストカバレッジが不足しているため、特に重要です。これは、私たちの正確性を検証する能力を制限するだけでなく、AFX の将来のセキュリティメンテナンスシステムの能力も制限します。さらに、再監査が急務である重要な要因は、当時リアルタイムまたはローカル環境で実行または相互作用する能力がなかったことです。これにより、機能の検証、エッジケースの探索、静的レビュー以外のシステムの挙動評価を行う能力が大幅に制限されました。" Zellic はまとめの部分で述べています。

Zellic の開示によれば、彼らがアクセスし検証できたコードはブリッジプロトコルの一部のコンポーネントのみをカバーしており、完全な資産のクロスチェーンプロセスをカバーすることはできず、実際の運用環境でのテストも行えませんでした。これは、クロスチェーンブリッジの最も重要な資産の保管、署名の検証、権限の制御などのクリティカルパスに関して、監査機関が実際には完全な結論を出すことができないことを意味します。

Zellic はまた、プロジェクト側が報告書に基づいて脆弱性の修正を行ったとしても、監査機関はこれらの修正が正しく実施されたかどうかを確認できず、修正プロセスで新たな脆弱性が導入されることがないことを保証することもできないと特に警告しています。これは、報告書が実際にはブリッジプロトコルがすでに「安全」であることの証明として機能せず、むしろ一部のコードに対する段階的なチェック結果に過ぎないことを意味します。

数千万ドルの資産を管理するクロスチェーンブリッジにとって、「監査範囲が不完全」であること自体がリスクです。監査機関がシステム全体のセキュリティ境界を確認できない場合、ユーザーはプロトコルの真の安全性を判断することが非常に難しくなります。

これに対し、MetaMask のチーフプロダクトマネージャー、MyEtherWallet および MyCrypto の創設者 [Taylor Monahan](https://www.rootdata.com/zh/member/Taylor Monahan?k=MTEyMTI=) は、AFX のクロスチェーンブリッジのこの監査報告書は「非常に恐ろしい」とツイートし、多くの「確認済み」の問題が修正されていないことに対して、ユーザーが 2400 万ドル以上をこのプロトコルに転送することに極めて理解できないと述べました。

"この監査は、根本的に「完全に真の M of N システム」に責任を持たないチームを強く指し示しています。未処理のエッジケース？問題ありません。手動でユーザー資金を操作？問題ありません。強盗を防ぐために完全にチームの介入に依存する？問題ありません。"

Taylor Monahan は、AFX のすべてのバリデーターとキーが同じシステム上にあるか、単一の人物によって制御されている可能性が非常に高いと推測しています。

二、親会社は Phemex の疑い

ChainCatcher の記者は AFX チームをさらに調査した結果、このプロジェクトが暗号通貨取引所 Phemex と密接に関連しているようで、Phemex がその親会社である可能性が高いことがわかりました。

チームメンバーの複雑な関連は支援的証拠の一つです。AFX の成長責任者 Ken の X アカウント の以前のプロフィールは「Head of Listing @phemex_official」であり、これは Phemex の上場責任者であり、どの取引所にとっても最も重要な機能の一つです。

AFX の公式 X アカウントがフォローしている別のチームメンバー Damon は、さらなる公開情報はありませんが、彼の X アカウントは 4 か月前に作成され、AFX アカウントをフォローした後、少なくとも 3 名の Phemex 取引所のチームメンバーの X アカウントもフォローしています。

さらに、Phemex 取引所の公式ブログは AFX を紹介する多くの記事を公開しており、例えば「Unlock Your Strength: Discover Why AFX Protocol Transforms Lives」、「The Philosophy of Anti-Fragility: Why AFX Protocol Matters」、「Dive into the Multi-Asset Perps Revolution!」、「Top 5 Perpetual DEXs to Watch in 2026」などがあり、最後の記事では AFX 取引所が Hyperliquid などの他の Perp DEX よりも前に位置しています。

現在、前述の記事はすべて Phemex の公式サイトから削除されていますが、Google でタイトルを検索すると、これらの記事のリンクは検索結果にまだ表示されています。

もう一つの関連証拠は、両プロジェクトのロゴのテーマスタイルが非常に似ており、蛍光緑から青緑へのグラデーションカラーを使用し、純黒の背景と組み合わせて、視覚的な雰囲気や色調がほぼ一致していることです。これは、両者が同じデザインチームを持っていることを反映している可能性があります。

チームの履歴、公式の歴史的宣伝、ブランドデザイン、公開された運営の痕跡を総合的に見ると、AFX と Phemex の間には普通のエコシステムパートナーを超えた関係が存在します。

最も「考えさせられる」問題は、Phemex 取引所も 2025 年 1 月に 7000 万ドル以上が盗まれたことがあり、その際外部の分析では北朝鮮のハッカーによるものである可能性が高いとされました。当時、Phemex チームはユーザー資産に影響はないと述べ、プラットフォームがこの事件による損失を負担し、すぐに正常な出金プロセスを回復すると発表しました。

AFX 製品を発売する際、Phemex は明らかに事前にリスク隔離の準備を整えており、両者はブランド、株式などの複数のレベルで公に関連性はありませんが、それでも両者の密接な関係を隠すことはできません。

現在、数千万ドルの損失という悲劇が再び繰り返されています。これは果たして北朝鮮のハッカーによる再犯なのか、それとも内部の者による計画的な収穫なのか、さらなる証拠と分析が必要です。