事件・ミステリー約 6分更新 2026-09-05Axie Infinity (AXS)

生活費を支えたゲームと5署名の綻び：Ronin約6億2,000万ドルLazarus窃取

パンデミック期、フィリピンの一部利用者はAxie Infinityのスカラーシップ収益を生活費に充てた。Ethereumの混雑を避けるため、Sky Mavisは高速なRoninを構築した。2022年3月23日、攻撃者はSky Mavisの4検証ノードと解除されていなかったAxie DAOの代理署名権限に到達し、9ノード中5署名の条件を満たした。米政府は約6億2,000万ドルの窃取を北朝鮮のLazarus Groupに帰属させた。

生活費を支えたゲームと5署名の綻び：Ronin約6億2,000万ドルLazarus窃取

要点

  • Axieのスカラーシップは資産所有者とプレイヤーがゲーム収益を分ける仕組みだった。CoinGeckoはCabanatuanの一部参加者が請求書の支払い、家族の生活費、学費に充てた例を紹介した。
  • RoninはAxie取引の摩擦を減らした一方、ブリッジは9検証者中5署名で出金でき、4つの鍵をSky Mavisが管理していた。
  • 悪性PDFから必要な4ノードが侵害され、解除されなかったAxie DAOの代理署名権限が5つ目を与えた。2件の出金は6日間発見されなかった。

出来事のタイムライン

2021年4月28日Roninフェーズ2でAxie活動を移行

Sky MavisがETH、AXS、SLPの入金を開き、繁殖、トークン請求、マーケット取引をへ移した。

2021年10月5日Axie、日次利用者200万人超を発表

Sky Mavisが日次アクティブ利用者200万人超を発表。別の現地取材では、スカラーシップ収益を家計に充てた一部フィリピン人プレイヤーが紹介された。

2022年3月23日5署名で2件の出金を承認

攻撃者が侵害したSky Mavisの4検証ノードと残置されたAxie DAO代理権限を使い、173,600 ETHと2,550万USDCを引き出した。

2022年3月29日6日後の発覚とブリッジの緊急凍結

利用者がETHを出金できなかったことで、2件の不正取引から6日後に侵害が判明した。

2022年6月28日ブリッジ再開、Axie DAO分は例外

Sky Mavisは再開時に一般利用者への債務は全額裏付けられたと説明した。一方、Axie DAO Treasuryの56,000 WETHは回収またはDAO判断まで担保不足のまま残った。

1. Cabanatuan：Axie収益が家計に入った時

2020〜2021年、パンデミック期のフィリピンのCabanatuanで、Axie Infinityは異例の収入源になった。CoinGeckoはゲーム収益を現金化し、請求書の支払い、家族の生活費、学費に充てた例を紹介し、この地域を扱う短編ドキュメンタリーへリンクしている。一部世帯を支えた事例であり、全プレイヤーへの収入の約束ではない。[1]

こうした家計の事例では、Play-to-Earn（P2E）で得たSLP（Smooth Love Potion）が中心だった。CoinGeckoはSLPを別の暗号資産に交換し、その後ペソへ換える経路を説明している。ゲームの報酬が生活資金につながった一方、受取額はトークンの交換価値に左右された。[1]

最初のチームを用意する費用が高かったため、資産所有者がAxie を貸し、SLP収益を分けるスカラーシップが広がった。CoinGeckoは月約15,000ペソの例を、当時の一部職業の約10,000ペソと比較している。2021年10月5日、Sky Mavisは日次アクティブ利用者が200万人を超えたと発表したが、これはスカラーやフィリピン利用者だけの人数ではない。[1][2]

2. Ethereumの摩擦と集中したRoninブリッジ

Axieの成長はEthereumの混雑に直面した。Sky Mavisは、遅い確定とがゲーム経済、とりわけ少額で頻繁な取引を妨げたと説明している。[4]

Sky MavisはEthereumと接続するRoninを構築した。発表時には高速な確定と大幅な手数料低下を掲げ、2021年4月28日のフェーズ2でETH、AXS、SLP、繁殖、報酬請求、マーケット取引をRoninへ移した。[3][4]

RoninとEthereumを結ぶブリッジは9検証者中5署名で出金できた。日本の金融庁委託研究報告書によれば、そのうち4ノードをSky Mavisが運用していた。攻撃者に必要な5署名のうち4つを一組織が管理する集中構造だった。[6]

3. 悪性PDFと解除されなかった権限

攻撃者はEthereumの暗号を破ったのではない。米財務省のリスク評価は、北朝鮮関係者が1人のエンジニアにマルウェア入りPDFを送り、ブリッジ支配に必要な5検証ノードのうち4つへ到達したと説明する。[7]

1人を狙った侵害がネットワーク全体の障害へ広がったのは、そのアクセスがSky Mavis運用の4検証ノードに届いたためである。1つの悪性文書がブリッジ規模の被害を生んだ背景には、4ノードが互いに独立した防衛線として機能しなかった構造があった。[7]

5つ目の署名は古いAxie DAO検証者の設定から得られた。2021年11月の高負荷時、DAOは利用者の無料取引を処理するためSky Mavisに代理署名を許可した。一時措置は12月に終わったが、代理署名の許可リストは削除されなかった。[6]

金融庁委託報告書は、DAO検証者の侵害を一時措置の終了後も残っていた代理署名権限と結び付けている。この古い権限により、Sky Mavis侵害の影響は出金に必要な5つ目の署名まで及んだ。[6]

4. 2件の出金、6日間見つからず

2022年3月23日、ブリッジには2件の不正出金が記録された。13時29分09秒（UTC）に173,600 ETH、13時31分04秒（UTC）に2,550万USDCが流出した。オンチェーン時刻の差は1分55秒である。[9][10]

金融庁委託報告書は当時の価値を6億2,010万ドルと算定した。米財務省は2022年5月、Lazarusの作戦を当時までで最大の暗号資産窃取と呼び、約6億2,000万ドルと表現した。この表現は、2022年5月に財務省が捉えた事件規模を示している。[6][8]

侵害は3月29日、利用者がETHを出金できなかったことで判明した。不正取引からすでに6日が経過していた。再開後のブリッジには、大口出金を再び無検査で通さないため、サーキットブレーカーと日次出金上限が加えられた。[6][11]

5. 利用者補填、DAO例外、21検証者の目標

2022年4月14日、米政府は攻撃アドレスを北朝鮮のLazarus Groupに結び付けた。5月の財務省措置も帰属を再確認し、3月23日のRonin窃取を明記した。[8]

Sky MavisはBinanceが1億5,000万ドルの資金調達を主導すると発表したが、後に実際の調達額は1,100万ドルだったと記事を更新した。同社は自社資金でブリッジを補填したと説明する。再開時、一般利用者のWETHとUSDCへの債務は裏付けられたが、Axie DAO Treasury所有の56,000 WETHは回収またはDAO判断まで担保不足のまま残った。 6月のブリッジ再開より前に、Binanceは4月2日から同サービスを利用できるユーザーへ代替経路を提供し、Axie Infinityと創業者側の流動性がそれを支えた。[5][11]

私たちは今回の侵害について全責任を負います。[5]
— Sky Mavis、2022年4月6日

Roninは署名閾値を引き上げ、出金上限、サーキットブレーカー、大口送金の人手審査を導入して再開した。Sky Mavisは3か月以内に独立検証ノードを少なくとも21にする目標を掲げ、Nansen、Delphi Digital、Stable Node、Animoca Brands、Dialecticの参加手続きを始めた。21という数字は当時の稼働数ではなく、復旧計画の目標だった。[11][12]

この事件から学ぶ重要教訓（Key Takeaways）

技術 & アーキテクチャ

署名数よりも重要な障害ドメイン（Fault Domain）の分離

は独立した5つの障害領域を意味しなかった。必要な4ノードと5つ目の署名への代理経路はいずれもSky Mavis環境の侵害から到達できた。

市場 & 投資インサイト

ゲームの人気の下に潜むブリッジ・インフラのリスク

Roninブリッジの出金は停止したが、Binanceは4月2日から同サービスを利用できるユーザーに代替経路を提供した。Axie Infinityと創業者側の流動性がこの経路を支え、Roninブリッジ自体は一般利用者への債務の補填後に再開した。

思想 & ガバナンス

所有権も出口に依存する

プレイヤーがRonin上のゲーム資産を管理できても、ネットワークから退出できるかは検証鍵の管理、ブリッジ監視、運営者の対応に依存していた。

次の疑問へ

続けて読みたいストーリー

同じテーマを、別の事例や背景から考えてみましょう。

出典・参考文献

  1. [1]出典 1: Axie Infinityの収益を生活費に充てたフィリピンの事例CoinGecko Research
  2. [2]出典 2: Axie Infinity Raises $152M Series BSky Mavis / Axie Infinity · 2021-10-05
  3. [3]出典 3: Ronin Phase 2 Is LiveSky Mavis / Axie Infinity · 2021-04-28
  4. [4]出典 4: Introducing Ronin: Axie Infinity’s Ethereum SidechainSky Mavis / Axie Infinity · 2020-06-30
  5. [5]出典 5: Funding to Reimburse Ronin Bridge UsersSky Mavis / Axie Infinity · 2022-04-06
  6. [6]出典 6: Research Report on the Chain of Trust of Decentralized FinanceQUNIE Corporation for Japan Financial Services Agency · 2022-06
  7. [7]出典 7: Illicit Finance Risk Assessment of Decentralized FinanceU.S. Department of the Treasury · 2023-04-06
  8. [8]出典 8: U.S. Treasury Issues First-Ever Sanctions on a Virtual Currency Mixer, Targets DPRK Cyber ThreatsU.S. Department of the Treasury · 2022-05-06
  9. [9]出典 9: Roninブリッジの173,600 ETH出金取引Ethereum / Etherscan · 2022-03-23
  10. [10]出典 10: Roninブリッジの2,550万USDC出金取引Ethereum / Etherscan · 2022-03-23
  11. [11]出典 11: The Ronin Bridge Is OpenSky Mavis / Ronin · 2022-06-28
  12. [12]出典 12: Securing RoninSky Mavis / Ronin · 2022-04-05
  13. [13]出典 13: Axie Infinity’s Ronin Network Suffers $625M ExploitTechCrunch · 2022-03-29
  14. [14]出典 14: Targeting of Axie Infinity’s Ronin NetworkCouncil on Foreign Relations
← ストーリー一覧へすべてのコインを見る →