Q3の暗号資産ハッキング損失11億8000万ドル、Hacken報告「監査バッジは過信のもと」

HackenのQ3報告によると、107件のハッキングで11億8000万ドルの損失が発生。大半はスマートコントラクト以外の運用面・供給網の欠陥が原因という。

セキュリティ監査会社Hackenの報告によると、2026年第3四半期の暗号資産ハッキングによる損失は107件で計11億8000万ドルに達し、前四半期から55%増加した。同社は10月15日公開の報告書で、損失の大半がスマートコントラクトの欠陥ではなく供給網や運用面の穴から生じたと指摘している。

損失の大部分は「コード以外」が原因

報告書の集計では、11億8000万ドルのうち9億680万ドル(約7割超)が、取引先や開発ツールの侵害、公開済みのセキュリティ修正を適用していなかったこと、監査対象から外れていたコンポーネントのいずれかに起因する。つまり四半期の損失の大部分が、監査では本来拾えない層から流出したことになる。

個別の被害では、9月のBitget攻撃が最大で、第三者セキュリティ製品の脆弱性を突いて出金基盤に侵入され、少なくとも3億5200万ドルを失った。7月にはブリッジやクロスチェーンプロトコル3件が6時間の攻撃で計3500万ドル超を失い、このうちAFX Tradeはバリデータ鍵を奪われて2400万ドルの被害を出した。このほかLiquid Networkで3億1900万ドル、Tectonicで7500万ドル以上、ウォレットソフトのColdcardで約1億1400万ドルの被害が報告書に並ぶ。

なお、10月にLedgerが明らかにした、東南アジアの販売代理店CryptoBilis経由で販売されたデバイスに不正なハードウェアが仕込まれていた件(約9300万ドルの損失)は第3四半期の集計外で、背景として紹介されている。

監査バッジが生む過信

Hackenが強調するのは、監査の「範囲」の問題だ。同社によれば、顧客は監査バッジを見てプラットフォーム全体が検証済みだと思い込むが、実際の監査は特定のスマートコントラクトのみを対象とすることが多く、ウォレット、署名システム、第三者ソフトウェアは範囲外に置かれがちだという。

共同創業者のAndrii Matiukhinは、監査対象を資金に触れる全コンポーネントに広げるには費用がかさむため、各チームは要点だけを監査して手を抜いていると述べた。さらに、深刻度の高い脆弱性が開発チーム側で低く分類され、修正が先送りされたり見送られたりするケースもあると語った。同社は、顧客資金を預かる事業者が数か月前の監査報告に依存せず、脆弱性を追跡して迅速に修正を適用する責任を負うべきだとしている。

投資家側にとっての教訓は、監査済みバッジが監査対象外の鍵管理や供給網の安全を保証しないという点だ。事業者がどこまで自社で運用セキュリティを管理しているかは、バッジだけでは分からない。

未公表の調査結果:7億ドル超が「不十分な鍵設定」に

報告書には先行的な調査結果も含まれる。Hackenがデリバティブス取引所と予測市場12社を調査したところ、2つの主要な取引所で計7億ドル超の資産が、4鍵のうち3つの署名を要する方式や、鍵の保持者が非公開の管理鍵に依存していた。Matiukhinは報告書の公開前に2社の名前を明かさなかったが、稼働中の脆弱性は確認されておらず、問題は規模に対する鍵設定の不備だと説明した。

損失額はいずれもHackenの集計に基づく数値で、他の追跡調査との突き合わせは示されていない。