YZi Labs出資のBounceBit Chainが永久停止、約2億8,650万BBの不正移動を確認

認証欠陥を突かれ独自L1に幕、BounceBitはBNB Chainへの移行を決断

YZi Labs（YZiラボ:イージー・ラボ）が出資するBounceBit（バウンスビット）の独自レイヤー1（L1）ブロックチェーン「BounceBit Chain」が、運用終了へ向かうことになった。

YZi Labs-backed BounceBit to permanently shut down its L1 after 286.5M BB exploit

BounceBit said an attacker exploited a protocol-level authorization flaw in its Evmos-based chain, moving approximately 286.5 million BB from nine mainnet accounts without authorization. The… pic.twitter.com/gMWgITsu4P

— Wu Blockchain (@WuBlockchain) August 21, 2026

発端は、認証システムの欠陥を悪用した攻撃だ。攻撃者によって約2億8,650万BBが不正に移動され、事件当時の価値はソースによって310万ドル（約4.9億円）以上から約330万ドル（約5.25億円）と推定されている。

BounceBitはビットコイン再ステーキングを手掛ける企業で、これまで独自L1としてBounceBit Chainを運営してきた。しかし今回の攻撃を受け、チェーンを修復して使い続ける道ではなく、BNB Chain上でBBを再発行する道を選んだ。

9口座から2億8,654万BB超を移動、秘密鍵の盗難は確認されず

BounceBitによると、攻撃は8月19日（水曜日）から20日（木曜日）にかけて発生した。攻撃者は9つのメインネット口座から、合計2億8,654万3,148BBを不正に移動させた。

原因とされているのは、BounceBit Chainが利用していたEvmos（エヴモス）ベースの権利確定およびロックアップアカウントモジュールに存在する認証上の欠陥だ。

この欠陥を利用すると、別の口座の所有者から承認を得ることなく、その口座を資金源として指定できたとされる。結果として、本来の所有者が認めていない資金移動が実行された。

一方で、秘密鍵が盗まれたわけではなく、署名の偽造やユーザーウォレット、取引所アカウントへの侵害も確認されていない。今回の問題は、外部から鍵を奪われたタイプの攻撃ではなく、チェーン内部のソフトウェアに存在した認証処理に起因するものだった。

不正に移動されたBBのうち、推定約2億5,400万BBは大手仮想通貨取引所へ、約1,000万BBは別の取引所へ送金された。さらに、約1,850万BBは統合アドレスに残っているという。

修復より撤退を選択、BBはBNB Chain上で再スタートへ

攻撃発覚後、BounceBitは当初チェーンの修復も検討していた。

しかし、BounceBit Chainが利用していたEvmosのコードベースはすでに開発中止となっていた。フォークしたコードを後継のコードベースへ移す場合、単純なアップグレードでは済まず、大規模な再構築に加えて再監査や再検証まで必要になる。

こうした状況を踏まえ、BounceBitは独自L1の延命ではなく、運用終了を選んだ。BounceBit Chainはブロック20,702,857で新たなブロックの生成を停止している。

今後、BBはBNB Chain上のBEP-20トークンとして再発行される。新しい残高は、不正送金前となるブロック20,697,260のスナップショットを基準に設定され、攻撃者によって移動された約2億8,650万BBは新たな供給量には含まれない。

ユーザーが新しいBBを手動で申請する必要はなく、対応するBNB Chainアドレスへ自動的に付与される予定だ。

なお、BounceBitが展開するCeDeFi、Prime、RWA製品は今回の攻撃の影響を受けておらず、引き続き稼働する。同社製品の多くはすでにBNB Chain上で動作しており、独自L1の再建ではなく、既存製品へリソースを振り向けていく方針だ。