Last Updated on 2026年8月31日 by oba3
暗号資産カード基盤を提供するレイン（Rain）の旧ソラナ（Solana）カード契約が悪用され、複数のカードプログラムから合計約110万ドルが移動したとオンチェーン分析で推計されている。アヴィチ（Avici）は利用者1685人、カード残高50万859.22ドルが影響を受けたと確認し、全額補償する方針を示した。重要なのは自己管理ウォレットそのものが破られたわけではない点だ。利用者がカードへ資金を移した瞬間、その資産は別の決済用スマートコントラクトへ移り、通常の自己管理とは異なるリスクへさらされていた。暗号資産カードでは、誰が普段ウォレットを管理するかだけでなく、支払い時に資産がどの契約へ渡るのかを見る必要がある。
何が起きたのか？
2026年8月28日、レインがカード発行基盤を提供する複数サービスで、旧バージョンのソラナ用カード契約に関係する不正な資金移動が確認された。レインと各サービスは対象契約を更新し、修正後に新たな不正活動は確認されていないとしている。
アヴィチによる集計では、1685人の利用者が保有していたカード残高50万859.22ドルが影響を受けた。同社は対象利用者を全額補償すると表明している。一方、同じレイン基盤を利用していたトリア（Tria）も、636人のカード残高43万1945ドルが影響を受けたと公表し、こちらも全額補償する方針を示した。
オンチェーン分析では、関連する攻撃者アドレス群から約111万ドル相当のUSDCが移動したと推計されている。ただし、この数字はアヴィチ単体の損失ではなく、複数のレイン採用サービスにまたがる可能性がある。レインによるプログラム別の最終集計や詳細な技術報告は現時点で公表されておらず、約110万ドルは確定した全体損失額ではない。
なぜ重要なのか？
アヴィチやトリアは自己管理型ウォレットを提供しており、今回も通常のウォレット内資産は影響を受けなかったと説明している。秘密鍵やシードフレーズが盗まれ、利用者のウォレット全体が流出した事件ではない。
しかしカードを使うために資金をチャージすると状況が変わる。ソラナ資産でカード残高を用意する際、その資金は自己管理ウォレットからカード決済専用の別契約へ移動する。今回影響を受けたのはこの部分だった。
つまり自己管理という言葉だけでは、サービス全体の資産保管リスクを説明できない。利用者自身が秘密鍵を管理していても、カード、融資、ブリッジ、ステーキングなど特定機能を使う時だけ第三者の契約へ資産を預ける場合がある。その瞬間にリスクの所在も変わる。
市場構造への影響
暗号資産カードは、オンチェーン資産と既存のカード決済網を接続するため複数のインフラを組み合わせる。利用者のウォレット、カード発行事業者、スマートコントラクト、決済処理会社、法定通貨での加盟店精算などが一つのサービスの裏側で連動する。
この構造では、アプリ上では一つの残高に見えても、実際の資産管理主体は場面ごとに変わる。普段は利用者が自己管理していても、カードへ資金を移した後は決済用契約の安全性に依存する。今回の事件は、その境界に古い契約が残っていたことで複数サービスが同時に影響を受けた。
さらにレインのような共通基盤を複数の金融アプリが利用している場合、一社のバックエンドに存在する問題が複数ブランドへ広がる。利用者から見れば別々のサービスでも、決済層では同じ事業者やスマートコントラクトへ依存している可能性がある。
資金・規制・流動性との関係
カード残高は、利用者が近い将来支払いへ使うことを前提とした流動性の高い資金だ。そのため長期間ロックする投資資産とは異なり、安全性だけでなく即時に利用できることも求められる。決済契約が停止したり残高が隔離されたりすれば、資産総額が小さくても日常的な支払いへ直接影響する。
今回アヴィチとトリアが全額補償を表明したことで、利用者側の最終損失は事業者側が吸収する方向となっている。しかし補償は脆弱性そのものを消すわけではない。カードプログラムを提供する企業には、外部ベンダーの契約バージョン管理、権限設定、アップグレード状況まで継続的に監視する必要がある。
規制面でも、自己管理型サービスだから事業者が資産へ関与しないという単純な整理は難しくなる。カード利用時に別契約へ資産が移され、その契約を第三者インフラ企業が管理するなら、利用者資産の保護、委託先管理、事故時の補償責任をどの主体が負うのかが重要になる。
初心者向け補足
自己管理ウォレットとは、暗号資産を動かす秘密鍵を利用者自身が管理する仕組みだ。通常であればサービス運営会社が勝手に資産を動かすことはできない。
ただし、そのウォレットからカードへ100ドル分をチャージする場合、100ドル相当の資産をカード決済用の別契約へ送る設計もある。この場合、ウォレットに残っている資産は自己管理でも、カードへ移した100ドルはその契約の安全性に依存する。
今回の事件では、このカード残高側が影響を受けた。自己管理ウォレットが安全だったという説明と、利用者資金が実際に失われたという事実は矛盾しない。資産が保管される場所が異なっていたためだ。
Web3Timesの視点
今回の事件で見るべきなのは、自己管理型サービスだったのに資金が盗まれたという矛盾ではない。むしろ自己管理とカストディーが一つのサービス内で切り替わる境界が、暗号資産決済の重要なリスクポイントになっている。
利用者は普段、自分のウォレットを管理する。しかしカードを使うために資金を移した瞬間、その資産はレインの決済契約へ依存する。自己管理か中央管理かという二択ではなく、取引のどの段階で誰が資産を支配できるのかを追う必要がある。
今後注目すべきなのは約110万ドルという推定流出額だけではない。旧契約がなぜ複数サービスで残っていたのか、レインが契約の更新をどう管理していたのか、カード事業者が外部インフラの状態をどこまで監査できていたのかが重要になる。暗号資産カードが一般化するほど、安全性を決めるのはウォレットだけではない。自己管理資産が決済資金へ変わる瞬間の受け渡し設計こそ、利用者保護の中心になる。
