ハッカー攻撃

The Blockの報道によると、Immunefiの最新データでは、7月の暗号業界はハッキング攻撃により約1.1億ドルの損失を被った。同時期に、このプラットフォームは確認された脆弱性報告に対して研究者に232万ドルを支払い、確認されて支払いが完了した脆弱性報酬報告の数は前月比で18%増加した。報告によると、同社の監査コンペティションでは平均して1回のコンペで6.2件の重大な脆弱性が発見され、1級監査の1.5件を上回っている；7月には脆弱性報酬プログラムを通じて374件の脅威が阻止された。

暗号通貨取引所 Bybit は、朝鮮民主主義人民共和国、その情報機関である偵察総局（RGB）、および国家制裁を受けたハッカー組織 Lazarus Group に対して、15 億ドルのハッキング事件に関する民事訴訟を提起しました。アメリカ連邦裁判所は、訴訟期間中にこの事件に関連する特定された資産を移転または消失させることを禁止する仮差止命令を発令しました。

去中心化現物取引と永続契約取引プラットフォーム RISEx は、8月3日に XLP 金庫に関連する RWA 戦略で未承認の引き出しが発生し、673,011.56 USDC が関与したと発表しました。この問題は、7月13日のデプロイ以来の設定ミスに起因しており、チームは数分以内に発見し修正しました。7月に発生した一部の手数料を使用して XLP 預金者に全額補償を行い、ユーザーの資金には影響がありません。RISEx は、プラットフォーム、RISE クロスチェーンブリッジ、および XLP 金庫には引き出し制限メカニズムが設けられており、今回の金額は閾値を下回っています。チームは関連する取引と設定を確認し、他に同様の問題はないことを確認し、資金を追跡し、関連するアドレスに返還を要求するための連絡を試みています。今後、事後分析報告書を発表する予定です。

PeckShield の監視によると、暗号業界は 7 月に 30 件の重大なハッキング攻撃を受け、総損失は 2.103 億ドルに達し、6 月の 7587 万ドルと比較して 177.2% 増加しました。COLDCARD の事件は約 7000 万ドルの損失をもたらし、今年これまでで 3 番目に大きな暗号通貨の盗難事件です。具体的なセキュリティ事件は以下の通りです：COLDCARD：約 7000 万ドル；Arbitrum プラットフォーム上の AFX Trade：約 2400 万ドル；Ostium：約 2400 万ドル；BONK：約 2120 万ドル；Wanchain：約 1300 万ドル；Triple-A：約 1000 万ドル；Bonzo Lend：約 905 万ドル；Verus：約 750 万ドル；WEMIX：約 625 万ドル；Summer.fi：約 600 万ドル。

Cointelegraph の報道によると、タイ証券取引委員会（SEC）は、デジタル資産取引所 Bitkub Online と二人の元取締役 Sakolkorn Sakavee、Thaweesap Rawan に対して刑事告訴を提起し、2021 年のネットワーク攻撃に関連する虚偽報告に関与していると指摘しています。SEC は、2021 年 5 月のネットワーク攻撃により Bitkub から 16 種類のデジタル資産が盗まれ、約 17 億タイバーツ、約 5000 万ドルの価値があると述べています。規制当局は、Bitkub がその後 2021 年 10 月 31 日前に盗まれた資産を補填したが、2021 年 5 月 10 日から 10 月 30 日までに提出された毎日の純流動資本報告が資産の減少を正確に反映していなかったとしています。Bitkub は X プラットフォームで、この事件は 2021 年 5 月のネットワーク攻撃後の開示決定に起因しており、詐欺行為ではないと述べています。この取引所は、ウォレットの損傷を遅れて開示したのは取り付け騒ぎを避けるためであり、共同創業者がその後、盗まれた資金をカバーするために同等のデジタル資産を購入したとしています。会社および顧客は財務的損失を被っていないとしています。Bitkub は 2018 年に設立され、タイの大手暗号取引所の一つです。Bitkub の親会社は、潜在的な初回公開株（IPO）を検討しており、香港での上場の可能性も含まれています。

Specter の監視によると、1 人の rETH 保有者の 13 のウォレットが 6 月 5 日に攻撃を受け、合計で約 450 万ドルの資産が失われましたが、被害者は攻撃者がさらに資金を移動する前に問題を迅速に発見し、約 470 万ドルの残りの資産を移動しました。これらのウォレットは以前は数年間活動がなく、現在攻撃者は盗まれた資金の明確な操作を開始しています。

DeFi プロトコル Radiant は、2024 年 10 月のハッキングを経て、18 ヶ月の継続的な努力の後、DAO は運営を続けるための実行可能な道がなくなり、段階的に「運営停止（sunsetting）」の段階に入ることを発表しました。現在、プロジェクトには資金回収の進展がなく、新たな資本注入もなく、正常な運営を維持するための資金と発展の余地が不足しているため、責任ある長期運営を続けることができません。

ブロックチェーンセキュリティ会社CertiKの最新データによると、2026年5月に暗号業界はハッカー攻撃、脆弱性の悪用、詐欺によって約6830万ドルの損失を被り、4月の6.5億ドルを超える損失規模から約90%減少し、今年3回目の損失が1億ドル未満となる月となりました。CertiKは、5月の期間中に約260万ドルの損失がフィッシング攻撃から来ていると述べています。それに対して、4月はDrift ProtocolとKelpDAOのインフラが重大な攻撃を受け、それぞれ約2.85億ドルと2.92億ドルの損失を被り、2件の事件は当月の損失総額の約95%を占め、4月は2022年3月以来最も損失が大きかった月の一つとなりました。プロトコルレベルでの大規模攻撃は減少しているものの、CertiKはフィッシング攻撃、ソーシャルエンジニアリング詐欺、ディープフェイク（Deepfake）、および認証情報の漏洩などのリスクが依然として増加していると警告しています。研究者たちは、ますます多くの攻撃者が従業員、運用システム、認証プロセスをターゲットに攻撃を仕掛けるようになっていると指摘しています。CertiKは、5月の損失の減少は超大規模なセキュリティ事件が欠如していることを反映しており、業界のセキュリティ状況が根本的に改善されたことを意味するものではないと強調しています。クロスチェーンブリッジの脆弱性、プロトコルの欠陥、内部脅威、ソーシャルエンジニアリング攻撃は、暗号業界が直面している主要なリスクであると述べています。

Kelp DAOは月曜日に、4月18日に北朝鮮のLazarus Groupによる攻撃で2.93億ドルの損失を被った後、5週間の修復を経て、rsETHが完全に回復したと発表しました。Kelp DAOは、最後の20,373.7枚のrsETHがクロスチェーン移転を担当するLayerZeroのスマートコントラクトに送信されたと述べ、rsETH回復計画の運営部分が正式に終了したとしています。複数の暗号プロトコルがDeFi Unitedのイニシアティブを通じて資金を提供し、rsETHの支援を助けました。最初の25,000枚のrsETHは5月13日に移転され、翌日には出金が再開され、現在は鋳造、償還、報酬の運営が正常に行われています。この攻撃はDeFi貸出市場に連鎖的な影響を与え、攻撃者は大量の盗まれたrsETHをAaveでの担保としてWETHを借り出し、Aaveは1.9億ドルの不良債権を抱えることになりました。TVLは264億ドルから140億ドル以下に急落し、現在も139億ドルから151億ドルの範囲で推移しており、回復の兆しは見られません。4月には25件の暗号ハッキング事件が発生し、合計で6.3億ドルの損失がありました。

Echo Protocolは、Monad上のEchoクロスチェーンブリッジに影響を与えるセキュリティ事件を調査中であると発表しました。調査が進行中の間、すべてのクロスチェーン取引は引き続き停止状態にあります。以前の報道によると、市場の情報では、Echo ProtocolはMonad上でハッキングを受けました。攻撃者は1,000枚のeBTC（約7,670万ドル）を鋳造し、テスト済みのプロセスを利用して、そのうちの45枚のeBTC（約3,450万ドル）をCurvanceに預け入れました。その後、これを担保に約11.29枚のWBTC（約86.77万ドル）を借り入れ、WBTCをイーサリアムにブリッジしてETHに交換し、最終的に384枚のETH（約82.17万ドル）をTornado Cashに送金しました。慢雾の創設者である余弦は、Echo ProtocolはAdminの単一ポイントの秘密鍵が漏洩したために盗まれた可能性があると述べました。

アメリカのマンハッタン連邦裁判所の裁判官マーガレット・ガーネットは、AaveがrsETH攻撃事件後の資産回復計画を進めることを承認し、以前にArbitrumで凍結されていた約7100万ドルのETHをAaveが管理するウォレットに移転することを許可しました。裁判所の文書によると、この決定は以前のArbitrum DAOに対する差止命令を修正し、コミュニティがオンチェーンガバナンス投票を通じてETHの移転を完了できるようにし、投票および移転の実行に関与する者の法的責任を免除しました。この事件は4月に発生したrsETH攻撃事件に起因しており、関連する攻撃は広く北朝鮮に関連するラザルスグループに起因するとされています。以前、北朝鮮のテロリズムの被害者家族を代表する弁護士は、関連資産の凍結を主張し、約8.77億ドルの未払い判決の賠償範囲に含めることを試みました。Arbitrumコミュニティは、Snapshotでの温度チェック投票で凍結されたETHをAave回復計画に返還することを高票で支持しましたが、実際の移転は正式なオンチェーンガバナンスの承認が必要です。報道によれば、この案件はアメリカの関連原告が北朝鮮に関連する暗号資産を追求する行動の一部でもあります。Arbitrumの他に、原告は以前にプライバシー協定のRailgun DAOを訴え、Digital Currency Group（DCG）を被告の一つとして挙げ、関連するガバナンスおよび経済活動に関与したと主張しています。

FinanceFeeds の報道によると、北朝鮮の被害者弁護士はマンハッタン連邦裁判所の公聴会前に、Aave で発生した rsETH 攻撃事件を「盗難」ではなく「詐欺」と再定義し、7100 万ドル相当の ETH の差し押さえ命令を維持しようとしています。弁護士は、攻撃者が無価値な担保を利用して資産を借り入れ、返済しなかったことは詐欺的な貸付取引に該当し、これらの差し押さえ資産をテロリズム判決の賠償に充てることを目的としていると主張しています。以前、Lazarus Group に関連するハッカーはクロスチェーンブリッジの脆弱性を利用して無担保の rsETH を鋳造し、Aave から約 2.3 億ドルの資産を借り入れ、そのうち7100 万ドルが Arbitrum の開発者によって押収されました。被害者弁護士は同時に Aave の抗弁資格に疑問を呈し、そのサービス利用規約がユーザー資産に対する管理権を持たないと指摘しました。さらに、DeFi United は 3.27 億ドルの資金を調達しており、今回の論争の金額を上回っています。

CoinDesk の報道によると、Drift Protocol は 4 月 1 日に約 2.95 億ドルのセキュリティ脆弱性に対するユーザー回復計画を発表しました。この攻撃は北朝鮮支援のハッカー組織に起因しています。回復計画の核心は、確認されたユーザーの損失を表すレシートトークンを発行することであり、各トークンは 1 ドルの確認された損失を表します。保有者は、時間の経過とともに蓄積される回復プールの価値に基づいて償還することができます。回復プールの初期資金は約 380 万ドルで、取引所の収入から最大 1.275 億ドル、Tether の支援およびパートナーから最大 2000 万ドルなどの方法で増加することが期待されており、約 2.954 億ドルの総損失をカバーするまで成長します。Drift は約 336 万ドルの USDC を凍結し、資産回収の 10% に対する公開報奨金を開始しました。Drift は第2四半期に「安全優先」の取引所で再上場する予定です。法的な回収作業はまだ進行中です。

韓国経済新聞の報道によると、韓国の暗号取引所Bithumbは、将来の量子コンピュータが既存の暗号システムを破るリスクに備えて、抗量子暗号技術を導入することを発表しました。Bithumbは、仮想資産ウォレット管理から認証システムまで、PQC技術を全面的に適用する計画で、特に顧客の秘密鍵を保護することに重点を置き、セキュリティ技術会社ATONと協力して、データ処理の入力、認証、伝送、保存の各段階を暗号化します。同時に、Bithumbはリアルタイム監視システムを強化し、量子コンピュータを利用した新しいハッキング攻撃や異常取引パターンを検出します。

Arkham の監視によると、Kyber Network のハッカーが盗まれた資金を Tornado Cash に移動させています。このハッカー Andean Medjedovic は、2023 年末に KyberSwap から 4,880 万ドルを盗んだことがあり、以前には Indexed Finance を攻撃して 1,650 万ドルを盗んでいます。彼は 2025 年に FBI に起訴されました。

Curveの創設者マイケル・エゴロフは、最近のDeFiにおける多くの回避可能なセキュリティ事件の根源は、中央集権的な単一障害点にあると述べており、これが業界全体に悪影響を及ぼしていると指摘しています。彼はAaveとrsETHの事件を例に挙げ、関連する問題は事故が発生する前に予防されるべきであり、事後に対処するのではないと述べました。彼は業界が共同でDeFiのセキュリティ基準を策定し、単一障害点を減らし、プロジェクトチーム、監査機関、リスク評価チームがベストプラクティスを共有することを呼びかけています。また、イーサリアム財団とソラナ財団が協力してエコシステム参加者と共にセキュリティ原則とルールを策定することを提案しています。

オンチェーンデータによると、Kelp DAOはLayerZeroに基づくrsETHブリッジプロトコルがハッカーに利用された疑いがあり、116,500のrsETH、約2.92億ドルの損失が発生しました。Kelp DAOの公式は、rsETHに関する疑わしいクロスチェーン活動を発見したと述べ、現在メインネットと複数のLayer2上のrsETHコントラクトを停止しており、安全専門家と協力していると報告しています。今後の最新情報をお知らせする予定です。

最近発生した「ListaDAOLiquidStakingVault」契約の攻撃事件に関して、ListaDAO公式は声明を発表し、攻撃を受けた契約は公式に展開されたものではなく、未検証の第三者によって類似の名前で作成された偽契約であることを明らかにしました。ListaDAOの公式契約はこの事件の影響を受けていません。GoPlusセキュリティチームの詳細な分析によると、今回の攻撃は2026年4月16日に発生し、その根本的な原因は第三者契約にビジネスロジックの欠陥が存在することです。トークンの転送が行われると、Dividend.setShares()関数がトリガーされ、契約内のシェアの記録が変更され、それがclaimReward()関数内の報酬計算に影響を与えました。攻撃者はこの脆弱性を利用して契約内の資産を枯渇させました。GoPlusは、上記の2つの契約コードに同じロジックの脆弱性が存在するため、これらのコードをフォークまたは再利用する開発プロジェクトは高い利用リスクにさらされていることを警告しています。関連する開発者には、コードの点検と修正を迅速に行い、スマート契約の安全性を確保するために継続的な監査メカニズムを導入することをお勧めします。

市場の情報によると、ブロックチェーンセキュリティ会社Hackenが発表した報告書によれば、Web3プロジェクトはこの四半期にハッカー攻撃と詐欺によって4.645億ドルの損失を被った。その中で、フィッシングとソーシャルエンジニアリング攻撃が3.06億ドルを占め、主要な損失の原因となっている。1月に発生したハードウェアウォレットの詐欺は2.82億ドルの損失をもたらし、四半期の総損失の81%を占めている。スマートコントラクトの脆弱性による損失は8620万ドル、アクセス制御の失敗（キーやクラウドサービスが攻撃されたことを含む）による損失は7190万ドルである。報告書は、最大のセキュリティ事件は主にチェーン外の操作とインフラ層で発生し、従来の監査ではカバーしきれないことを指摘している。欧州の規制フレームワークMiCAとDORAは、セキュリティ監視とインシデント対応の要件を強化しており、世界の規制機関もリアルタイム監視と緊急対応基準を向上させている。