フォーブス、上期の暗号資産ハッキング被害13億ドル超　最大リスクはウォレット侵害

今年上半期の暗号資産（仮想通貨）のハッキング被害額が13億ドルを超えた。表面上は前年同期を下回ったが、大型の単独事件を除いて比べると、実際のセキュリティー脅威はむしろ強まっている。

フォーブスは7月17日、Web3セキュリティー企業のサーティック（CertiK）のハッキング報告書「Hack3D」を引用し、今年上半期のオンチェーンのセキュリティー事故344件で計13億1567万6432ドルが流出したと報じた。

前年同期比では46.8%減った。ただ、前年の被害額の大半は2025年2月に起きたバイビット（Bybit）の14億5000万ドルのハッキング事件が占めていた。これを除くと前年の被害額は約10億3000万ドルとなる。同じ基準で比べれば、今年上半期の被害額はむしろ約28%増えた計算だ。

サーティックは「損失がほぼ50%減ったという表面的な解釈は、エコシステムが大きく安全になったとの印象を与えかねない」と説明した。一方で「データはそうした結論を裏付けていない」と分析した。

今年上半期の被害の約44%は、ケルプDAO（Kelp DAO）とドリフト・プロトコル（Drift Protocol）の2件に集中した。被害額はケルプDAOが2億9130万ドル、ドリフト・プロトコルが2億8530万ドルだった。いずれもスマートコントラクトのコード欠陥ではなく、運用・インフラ面のセキュリティー不備が原因とされた。

サーティックの共同創業者で最高経営責任者（CEO）のロンフイ・グー（Ronghui Gu）氏は、上半期で最も目立ったのは損失の性格だったと語った。2件はいずれも、従来の意味でのスマートコントラクトのコード脆弱性ではなく、運用とインフラのセキュリティー上の失敗によるものだったと指摘した。

最大の被害をもたらした攻撃手法はウォレット侵害だった。サーティックによると、今年上半期のウォレット侵害による被害額は4億4400万ドルを超え、1件当たりの平均被害額も1300万ドル超と最も大きかった。

グー氏は、攻撃者はコードのバグを探すより、鍵管理やマルチシグのガバナンス、運用インフラを狙う方が高い収益を得ていると説明した。

フィッシング攻撃も大規模な標的型へ移っている。攻撃件数は132件から63件に減ったが、わずか4件のソーシャルエンジニアリング攻撃で3億1000万ドルが流出した。フィッシング被害全体の約85%に当たる。

AIエージェントも新たなリスク要因として浮上している。グー氏は「ウォレットへのアクセス権を持つAIエージェントは、新たな形の特権鍵の保有者だ」と述べた。「十分に保護されていないエージェントは、悪意ある入力をふるい落とせない可能性がある」と付け加えた。

フォーブスは、セキュリティー監査だけではもはや十分でないと指摘した。グー氏は「プロトコルが完璧なコード監査を通過しても、管理者鍵が奪われれば数百万ドルを失う可能性がある」と強調した。