Last Updated on 2026年8月22日 by oba3
バウンスビット（BounceBit）が、約300万ドル相当のBBが不正に移動された攻撃を受け、独自レイヤー1であるバウンスビット・チェーンを恒久的に停止し、BNBチェーン（BNB Chain）へ移行する方針を決めた。今回の論点は被害額の大きさだけではない。プロジェクトは脆弱性を修正して独自チェーンを再開するのではなく、チェーンそのものを廃止する判断を選んだ。独自L1を持つことには技術的な自由度がある一方、基盤コードの保守、監査、バリデーター運営、障害対応まで自ら負担する必要がある。今回の決定は、その経済性と安全性を改めて問い直す事例となった。
何が起きたのか？
バウンスビットによると、2026年8月19日から20日にかけて、攻撃者が9つのメインネット口座から約2億8650万BBを不正に移動した。被害額は当時の評価で約300万ドル。攻撃者が秘密鍵を盗んだり、利用者の署名を偽造したりしたものではなく、チェーン内部の認可確認に関する脆弱性が原因だった。
バウンスビット・チェーンはエブモス（Evmos）の技術スタックを基盤としており、問題となった機能ではスマートコントラクトから取引を呼び出す際、実際にその口座から資金を動かす権限があるかを適切に確認できないケースがあった。これにより攻撃者は、別の口座を資金元として指定し、本人の承認なしにBBを移動できた。
プロジェクトは異常を確認後にブロック生成を停止したが、その後、脆弱性を修正してチェーンを再開する案を採用しなかった。BBをBNBチェーン上のBEP-20トークンとして再発行し、攻撃前のスナップショットを基準に正当な残高を復元する方針を発表した。不正に移動されたBBは新しい残高計算から除外され、利用者側で個別の移行申請を行う必要はないとしている。
なぜ重要なのか？
今回特徴的なのは、攻撃を受けたプロジェクトが「修正して再開する」のではなく、「独自チェーンをやめる」という判断まで進んだ点だ。背景には、バウンスビットが利用していたエブモスの基盤開発が2026年5月に終了しており、安全な状態へ戻すには単純なアップデートでは済まない事情がある。
後継コードへ移す場合、基盤部分を大きく作り直し、再監査し、利用者資産を載せても問題ないことを改めて検証する必要がある。そこまでの開発費と安全管理コストを負担するより、すでに利用者やサービスが存在するBNBチェーンへ統合する方が合理的だとバウンスビットは判断した。
市場構造への影響
暗号資産業界では一時期、独自L1や独自L2を持つこと自体がプロジェクトの成長戦略として重視された。独自チェーンなら手数料設計、バリデーター報酬、トークン用途、ブロック生成ルールまで自ら管理できるためだ。
一方、その自由度には継続的な負担が伴う。アプリケーションを開発するだけでなく、コンセンサス、ノード、RPC、ブロックエクスプローラー、アップグレード、基盤コードの脆弱性まで責任範囲になる。利用量が十分大きくなければ、その固定費を独自ネットワークとして抱える意味は薄くなる。
バウンスビットの判断は、すべてのプロジェクトに独自チェーンが不要だという話ではない。ただ、独自L1を維持する利益よりも既存チェーンのセキュリティー基盤や利用者流動性を共有する利益が上回る場合、インフラを統合する選択肢が現実的になることを示した。
資金・規制・流動性との関係
今回の攻撃で重要なのは、バウンスビットのすべての運用資産が流出したわけではないことだ。同社によると、CeDeFi戦略、プロモ・ボールト、プライム、RWA関連商品などは今回の攻撃による直接的な影響を受けていない。問題は独自チェーン上のBB移転機能に集中していた。
移行後はBBの決済基盤がBNBチェーンへ変わるため、バウンスビットは自前のバリデーター網を維持する代わりに、既存ネットワークのセキュリティーと流動性を利用する形になる。独自チェーンが生んでいたステーキングやネットワーク運営の仕組みについては再設計が必要になる一方、既存のウォレット、取引所、DeFiとの接続は簡素化できる余地がある。
初心者向け補足
L1とは、取引を記録してブロックを生成する独立したブロックチェーンを指す。独自L1を運営するプロジェクトは、他のチェーンに依存せずネットワークのルールを決められる反面、そのネットワーク自体の安全性も自ら維持しなければならない。
今回の攻撃は、一般的なウォレットフィッシングとは性質が異なる。利用者が秘密鍵を盗まれたのではなく、チェーン内部で「この口座の資金を本当にこの取引が動かしてよいのか」を確認する処理に問題があった。アプリケーションが安全でも、その下で動くブロックチェーン基盤に欠陥があれば資産移動に影響することを示している。
Web3Timesの視点
今回見るべき数字は約300万ドルの被害額だけではない。より重要なのは、その攻撃をきっかけに一つの独立L1が消えるという判断まで進んだことだ。
ブロックチェーンを自社で持つことは、ブランドやトークン設計の自由度を高める。しかし利用者が少ない段階でも、コード更新、監査、バリデーター、障害対応という固定的な負担は残る。さらに依存していた基盤ソフトウェアの開発が終了すれば、自分たちだけでその技術負債を引き受けなければならない。
バウンスビットは今回、その負担を継続するよりも、利用者とサービスがすでに存在するBNBチェーンへ統合する道を選んだ。今後、同じように独自チェーンを持つ中小規模プロジェクトでは、「自分たちでブロックチェーンを運営する必要が本当にあるのか」という判断がより厳しくなる可能性がある。チェーン数を増やす時代から、資産と利用者が集まる基盤へ機能を集約する時代へ向かうのか。今回の廃止は、その経済合理性を測る一つの材料になる。
