Last Updated on 2026年7月30日 by oba3
2026年上期の暗号資産攻撃が212件で被害11億ドル超、巨額損失の集中と低い回収率が事業者の安全費用を押し上げる
オンチェーンセキュリティー企業のブロックエイド（Blockaid）が、2026年上期に確認した暗号資産関連の攻撃が212件に達し、被害総額は11億ドルを超えたと報告した。攻撃件数は同社の集計で半期として過去最多となったが、損失額は15億ドル規模のバイビット被害が含まれた前年同期を下回る。注目すべきなのは事件数の増加だけではない。ケルプDAOとドリフト・プロトコルの2件だけで約5億7700万ドルが失われ、秘密鍵、署名権限、クロスチェーン認証といった少数の管理点に損失が集中した。今後の参入条件を決めるのは監査を受けた回数ではなく、攻撃を検知して資産移動を止め、どれだけ回収できたかという実際の対応能力になる。
何が起きたのか？
ブロックエイドは2026年7月28日に公表した上期セキュリティー報告で、1月から6月までに212件の攻撃を確認し、損失額が11億ドルを超えたと説明した。同社が確認した重大な攻撃件数は、2025年通年の水準を上回ったとしている。
最大の被害は4月18日に発生したケルプDAO（KelpDAO）の約2億9200万ドルである。攻撃者はクロスチェーン通信で使われる単一の検証者構成を突破し、実際には送信元で資産が消却されていないにもかかわらず、別チェーン側の保管契約から11万6500rsETHを引き出した。
同じ4月には、ソラナ（Solana）上のデリバティブ市場ドリフト・プロトコル（Drift Protocol）でも約2億8500万ドルが流出した。ブロックエイドは、複数署名に関わる権限保有者を狙ったソーシャルエンジニアリングと署名基盤の侵害が中心だったと分析している。
ケルプDAOとドリフトの2件を合わせると約5億7700万ドルとなり、上期損失の半分を超える。さらにリゾルブ（Resolv）やカウスワップ（CoWSwap）を含む上位4件では、約7億700万ドルと全体のおよそ64％を占めた。多数の小規模事件が均等に損失を生んだのではなく、一部の大規模侵害が総額を押し上げた構成である。
なお、調査会社によって対象事件や評価方法は異なる。TRMラボ（TRM Labs）は同じ期間を207件、約9億7200万ドルと集計しており、ブロックエイドの数字とは一致しない。被害総額を比較する際は、未確定損失、返還資産、複数チェーンにまたがる同一事件をどのように数えたかを確認する必要がある。
なぜ重要なのか？
攻撃件数が増えたからといって、すべてのブロックチェーンやスマートコントラクトが同じ方法で破られたわけではない。ブロックエイドによると、イーサリアム（Ethereum）関連では約3億3200万ドル、ソラナ関連では約3億2600万ドルの損失が確認されたが、主要な攻撃経路は異なっていた。
イーサリアム側では、クロスチェーン基盤の設定不備やスマートコントラクトの処理など、コードと外部依存関係を組み合わせた攻撃が大きな損失につながった。一方、ソラナ関連の損失では98％超が秘密鍵や署名基盤の侵害に由来し、スマートコントラクトの欠陥だけを探す監査では防ぎにくい問題が中心だった。
つまり、安全対策をコード監査だけで評価する方法には限界がある。監査済みの契約でも、管理者鍵、複数署名の参加者、開発者端末、遠隔手続き呼び出し基盤、クロスチェーン検証者の一つが侵害されれば、正規の権限を使った取引として巨額資産が移動する場合がある。
市場構造への影響
損失が少数の権限や外部基盤へ集中すると、暗号資産事業への参入条件は開発能力だけでは満たせなくなる。取引所、運用プロトコル、ブリッジ、カストディー事業者には、コード監査に加えて鍵管理、権限分散、取引前検査、異常検知、緊急停止を継続運用する体制が求められる。
特にクロスチェーン市場では、一つの検証者や署名者を突破すれば、別チェーンに保管された大量資産を解放できる構成が残っている。接続するチェーンの数が増えるほど流動性を共有しやすくなる一方、認証設定の弱い一カ所が複数市場へ損失を広げる経路にもなる。
こうした事故が続けば、資本力のある事業者は複数監査会社、常時監視、独立した署名機器、サイバー保険へ支出できるため有利になりやすい。小規模チームには同じ固定費が重く、取引所への上場、機関投資家との提携、カストディー利用の審査を通過しにくくなる可能性がある。
ただし、支出額が多ければ安全とは限らない。実際の市場では、検知から停止までの時間、権限を無効化する手順、依存先を切り離す能力、利用者への情報開示まで含めた運用実績が重要になる。
資金・規制・流動性との関係
被害額を評価する際は、攻撃直後に流出した総額と、最終的に失われた純額を分ける必要がある。コード上の不具合や運営者の操作ミスでは、攻撃者との交渉やホワイトハットによる返還によって、一部または全部が戻る場合がある。
上期には、ヴェルス（Verus）の事件で約850万ドルが返還され、IPORフュージョン（IPOR Fusion）ではホワイトハットから全額が戻ったと報告された。また、ステラ（Stellar）上のブレンド（Blend）に対する価格操作では、検証者が約1020万ドルの被害のうち730万ドルを隔離した。隔離率は約73％となる。
一方、秘密鍵や署名者を侵害する攻撃では、奪われた資産が短時間で複数チェーンやミキサーへ移されるため、回収が難しい傾向が示された。最大級の事件がこの経路へ集中したことで、被害総額だけでなく純損失も大きくなったとみられる。
保険会社や機関投資家は、年間の事件件数よりも、権限構成と回収可能性を保険料や取引条件へ反映する可能性がある。単一署名、単一検証者、長期間変更されていない旧契約などは、補償対象からの除外や高い保険料につながり得る。
規制当局も、攻撃後の報告だけでなく、事前の鍵管理、委託先監督、顧客資産の分離、緊急時の取引停止を確認する方向へ進む可能性がある。事故対応能力が登録や提携の条件になれば、セキュリティーは技術部門の費用ではなく、事業を継続するための資本要件に近づく。
初心者向け補足
スマートコントラクト監査は、プログラムに既知の欠陥や危険な処理がないかを確認する作業である。ただし、運営者の秘密鍵が盗まれた場合や、外部の価格情報、署名者、ブリッジが侵害された場合まで自動的に防げるわけではない。
回収率とは、流出した資産のうち、返還、凍結、隔離などによって再び被害者側が管理できる状態になった割合である。攻撃者のアドレスを特定しただけでは回収にはならず、実際に移動を止めるか資産を返してもらう必要がある。
また、被害額の集計には違いが生じる。攻撃時点の価格を使うか、返還分を差し引くか、一つの攻撃が複数チェーンへ及んだ場合に何件と数えるかによって、調査会社の数字は変わる。
Web3Timesの視点
2026年上期を件数だけで過去最悪と評価すると、事業者が本当に対策すべき場所を見誤る。212件という数字以上に重要なのは、上位2件が全損失の半分を超え、単一検証者や署名権限の侵害が数億ドル規模の資産移動を許したことである。
見るべき指標は、監査件数やバグ報奨金の総額だけではない。管理鍵を何人で保持しているか、署名端末が日常業務から分離されているか、外部通信基盤が侵害された場合に別の検証者が拒否できるか、異常取引を決済前に停止できるかが重要になる。
事故後は、当初の流出額だけでなく、24時間後、7日後、調査終了後の純損失を追う必要がある。コード上の事件では返還に成功しても、運用権限を奪われた事件では回収率が低いという差が続けば、保険料や機関投資家の審査は攻撃経路ごとに分かれていく。
今後確認すべきなのは、下期の攻撃件数が増えるかだけではない。上位事件への損失集中率、秘密鍵侵害の割合、検知から停止までの時間、凍結・返還された資産、監査後に残っていた旧契約の数を見る必要がある。暗号資産市場への参入条件を引き上げるのは、11億ドルという総額そのものではなく、巨額資産を動かせる少数の権限と、盗難後に資金を取り戻せない運用構造である。
