2026年上半期に、暗号資産のハッキング、詐欺、不正利用（エクスプロイト）によって総損失は13億ドル超となり、いくつかの大規模な事件が記録上の合計を大きく左右しました。 TL;DR
暗号資産のセキュリティ損失は、CertiKのH1セキュリティレポートによると、2026年上半期に344件の事件で13.16億ドルに達しました。約1.153億ドルが凍結または返還されたため、調整後の損失は約12億ドルになっています。 2025年からの改善のように見える点には文脈が必要です。前年の上半期合計には、例外的な14.5億ドルのBybit侵害が含まれていました。その単一の出来事を除外すると、CertiKは、2026年における同等の損失が約28%増えたと見積もっています。 これらの損失の分布は、合計と同じくらい重要です。1件あたりの平均コストは約382万ドルですが、中央値の損失はわずか13万8703ドルでした。そのため平均は中央値の27倍超で、少数の極端な失敗が全体結果を押し上げたことが分かります。 3件の事件だけで、Kelp DAO、Drift Protocol、そして標的型の2.84億ドル規模のフィッシングによる窃盗が、報告された上半期損失全体の約65%を占めました。 損失ランキングには数字は1つでは足りない 暗号資産のインシデント報告では、さまざまな形の損害を測る異なる指標同士を比較することがよくあります。
総損失（Gross loss）
回収が行われる前に、プロトコルまたは被害者から取り除かれた価値。
実現された不正抽出（Realized extraction）
攻撃者が実際に、譲渡可能な経済的価値へと転換できた資産。
純損失（Net loss）
凍結、返還、返済、回収の後に、なお失われている金額。
ユーザーの負債（User liabilities）
プラットフォームが負う請求権（攻撃者の当初の得ていた金額よりも大きくなったり小さくなったりし得る）。
名目エクスポージャー（Notional exposure）
攻撃者が全額を現金化できなかったとしても、不正に発行された、または危機にさらされた資産の理論上の価値。
以下のランキングは主に報告された総損失を使用しています。回収、争われた評価額、攻撃者の得た分とプラットフォームの負債との違いは、それぞれ別に記載します。 裏付けのないトークン作成を含むインシデントでは、実現された不正抽出は、不正な供給量の額面よりも重要です。そうでなければ、攻撃者が1000万ドル分の流動性の低いトークンを作ったとしても現実の担保として100万ドル分しか引き出せない場合、1000万ドルを盗んだと誤ってランキングされ得ます。 2026年に報告された最大の暗号資産損失
最近のセキュリティインシデントに関する声明
1月31日（APAC）の早い午後の時間帯に、約$40M がStep Financeのトレジャリーから流出しました。これは、当社の執行チームのデバイスが侵害されたことによるものです。
侵害を検知するとすぐに、私たちは作業を開始しました…
— Step☀️ (@StepFinance_) 2026年2月2日
当初のオンチェーン推定では、トレジャリーワレットとして最初に特定された約261,854 SOLに基づき、損失はより約2700万ドルに近いとされていました。Stepの後続の見積りでは、影響を受けた資産の範囲がより広く含まれています。 プロジェクトの総額見積りである4000万ドルを用い、回収額は別途報告することで、推定値の違いの理由を説明せずに1つの数字だけを選ぶよりも、より包括的な全体像が得られます。 攻撃の金銭的な影響は、攻撃者に送金された金額を超えて広がることもあります。緊急資金調達、法務費用、ユーザー補償、中断された運用、失われた収益により、最終的な事業への打撃が、最初のオンチェーン上の引き出し額より大きくなる可能性があります。 5. Humanity Protocol – 3600万ドル Humanity Protocolは、6月9日に攻撃を受けました。侵害されたデバイスによって、ウォレットデータと、特権を持つプロジェクト口座に紐づくプライベートキーが公開されました。 Humanityの公式説明によると、攻撃者はそのデバイスからプライベートキーをコピーし、それを使ってオンチェーン攻撃を実行しました。 また、同プロジェクトは、Ethereum Hトークンのコントラクトは別のクリーンなマルチシグで保護されており、その公式メインネットのブリッジは侵害されていなかったとも述べています。
https://t.co/VjouykTSPw
— Humanity (@Humanityprot) 2026年6月12日
公開されている推定は、約3100万ドルから3600万ドルの範囲に及びます。これは、盗まれたHトークンが、事件のさまざまな段階と異なる市場価格で評価されたためです。 より重要な構造的問題は、複数の特権クレデンシャルが1つの侵害されたエンドポイントに集中していたことでした。 マルチシグによる保護は、そのキーが人、デバイス、場所、管理環境に分散している場合にのみ意味のあるものになります。同じコンピュータ上に保存されていた、またはそこから復元可能だった複数のクレデンシャルは、オンチェーンの署名しきい値を満たしつつ、実運用上は1つの実用的な単一障害点として機能してしまいます。 6. Resolv Protocol – 約2680万ドル Resolv Protocolは、3月22日に、攻撃者がそのクラウドインフラを侵害し、AWS Key Management Serviceを通じて制御されるキーへのアクセスを得た後、悪用されました。 Resolvは、ユーザーが担保を預け入れた後に、オフチェーンのサービスを使ってUSRの作成を承認していました。 CertiKのインシデント分析によると、攻撃者は比較的小さな正規のUSDCの入金を行い、その後、侵害されたサービスロールを使って2回のトランザクションで約8000万USRを承認しました。 契約は、承認が承認済みのサービスからのものだと検証しました。最低出力量は設定されていましたが、ユーザーが預け入れた担保に紐づく最大金額は強制していませんでした。 特権サービスが侵害されると、攻撃者は暗号学的に有効ではあるが、経済的には裏付けのない承認を作成できるようになります。 これは、クラウドのキー管理サービスが暗号資産インフラとして本質的に不適切だという意味ではありません。より大きな設計上の問題は、1つのサービスロールに対して無制限の経済的権限が付与されていた点でした。 保護されたキーでも、署名を受け取るコントラクトが担保比率、ミント上限、取引制限、出金速度を独立して強制しない場合、致命的な障害点になり得ます。 7. Truebit – 2600万ドル Truebitは、1月8日に、2021年にデプロイされたボンディングカーブ・コントラクトにおける整数オーバーフローの脆弱性を通じて悪用されました。 そのコントラクトはSolidity 0.5.3でコンパイルされており、自動オーバーフロー保護がSolidity 0.8.0で導入される前のものでした。 攻撃者は例外的に大きな値を投入し、計算結果が0に近い数へと巻き戻るようにしました。これにより、ほぼETHをほとんど使わずに大量のTRUをミントでき、その後コントラクトが保有する実際のETHと交換（償還）できるようになりました。 Chainalysisは主要損失を2600万2000ドルと見積もりました。CertiKは、2人目の攻撃者によって約22.4万ドルが抽出されたことを含め、合算で約2660万ドルに近いとしました。 脆弱な実装はEtherscan上で公に検証されていませんでした。それでも攻撃者は調べることができました。 コントラクトのバイトコードは逆コンパイルでき、古いコンパイラ挙動は特定でき、疑わしい脆弱性はシミュレーションやブロックチェーン分岐でテストできます。 Truebitは、2026年に見られた広範なパターンに対する最大の例外です。その損失は、侵害された運用上の権限ではなく、公に実行されるロジックによるものでした。 また、資金や権限を保持している限り、休眠状態のコントラクトが監査、モニタリング、バグバウンティの範囲内に留まる必要がある理由も示しています。 なぜEcho Protocolは7670万ドルの窃盗としてランキングされないのか Echo Protocolは、攻撃者が侵害された管理者キーを使って、名目価値として7670万ドルを持つ、裏付けのない1,000のeBTCをミントしたため、7670万ドルの損失を被ったと説明されることがあります。 しかし攻撃者は、実際の資産として7670万ドルを抽出してはいません。 Merkle Scienceによると、偽造されたeBTCのうち45が、Curvanceのレンディング・プロトコルに預け入れられました。 攻撃者は、約11.29 WBTC（約86.7万ドル相当）を借り入れ、その後残りの955の裏付けのないeBTCは焼却（burn）されました。 正確な内訳は以下です。
名目額全体を盗まれたものとして分類すると、実現された損害はほぼ90倍に誇張されてしまいます。 Echoはそれでも重要な担保リスクの問題を浮き彫りにしています。CurvanceのオラクルはeBTCに付与された市場価値を正しく認識していましたが、それらのトークンが裏付けなしで作成されたものだとまでは判断できませんでした。 価格の整合性は、発行の整合性とは同じではありません。 外部発行された担保を受け入れるレンディング・プロトコルには、異常な供給作成、ミント権限の変更、突然の担保預け入れ、裏付けの検証、発行者レベルの管理者リスクに対する制御が必要です。正しい価格フィードだけでは、それらの問いに答えることはできません。 共通していたのはコントロールプレーン（制御系） 2026年の最大級の事件は、単一のコード脆弱性を共有していませんでした。共有していたのは、「そのコードに何を許すか」を決めるシステム側の弱点でした。 従来のインフラの用語で言えば、実行層（execution layer）は通常の処理を行い、コントロールプレーンは権限、設定、信頼できるデータソース、例外的なアクションを決定します。
この区別は、最大級の事件に非常によく当てはまります。
Kelp：検証者が、偽造されたソースチェーン上の活動のバージョンを受け入れた。
Drift：有効な署名が管理者権限を移した。
Step：侵害された執行者デバイスが、トレジャリー権限を露出させた。
Humanity：侵害されたエンドポイントが特権キーを露出させた。
Resolv：侵害されたサービスロールが、有効だが経済的に裏付けのない承認を作った。
Echo：1つの管理者キーで上限なしのミント権限が付与できた。
Truebit：例外は、レガシーなコントラクト・コードにおける算術上の欠陥。
CertiKは、年上半期に204件のコード脆弱性インシデントを記録し、損失は約1億5160万ドルでした。ウォレットの侵害は、たった33件のインシデントに対して4億4450万ドルを引き起こしました。 これは、コード脆弱性1件あたり平均約74.3万ドル、ウォレット侵害1件あたり平均1350万ドルになります。 平均すると、ウォレット侵害はコード脆弱性より約18倍高くつきました。 この比較が、スマートコントラクト監査の重要性を下げるわけではありません。署名者、RPC依存関係、管理用インターフェース、クラウドロール、緊急制御を除外した状態で契約を監査しても、金融システムのかなりの部分は未テストのまま残ることを示しています。 実際の失敗に対処する5つの制御 認証後に経済的制限を適用する 有効な署名は、そのアクションを承認した主体が誰かを示すべきです。無制限の経済的権限を与えるものではないはずです。 ミント、ブリッジ、担保承認、出金は、最大トランザクションサイズ、ローリング制限、担保比率、タイムディレイ、資産ごとの上限、自動停止などで引き続き制限できます。 これらの制御はクレデンシャル侵害を防げないかもしれませんが、侵害された1つのキーが直ちに無制限の負債を生み出すことは止められます。 キーの数ではなく、独立性を測る 3-of-5のマルチシグは、3つのキーが同一のノートPCから復元できたり、同じ企業アカウントで管理されていたりするなら、意味のある分散にはなりません。 NISTのキー管理ガイダンスは、承認、バックアップ、説明責任、職務分離、侵害対応、キーイング素材の保護を含むライフサイクル制御を重視しています。 プロトコルは、独立しているはずの署名者が、同じデバイス、パスワードマネージャー、クラウドテナント、復旧手順、物理的な場所、報告ラインを共有していないかを特定すべきです。 取引だけでなく関係性を監視する Kelpの悪用における各個別のトランザクションはすべて有効に見えました。検出可能な失敗は2つのチェーンの間にある関係性が欠けていたことでした。つまり、ソースチェーンでバーンが行われないまま、rsETHがEthereum上で解放されたのです。 ブリッジ監視は、関連するすべてのネットワークにおいて、ロック、バーン、ミント、リリースを継続的に突合すべきです。 同様の不変条件チェックは、預け入れた担保とミントされたトークン、準備金と流通供給、承認された引き出し上限と実際の流出を比較できます。 署名前に行政的意図（管理者の意図）をシミュレーションする ハードウェアウォレットはプライベートキーを保護しますが、正当なユーザーが悪意のあるトランザクションを承認しているかどうかまでは判断できません。 管理者トランザクションは、実行の前に別の環境でデコードしシミュレーションすべきです。 署名者は、トランザクションハッシュや判別できないウォレットのプロンプトだけでなく、結果として生じる権限変更、新たに承認された担保資産、価格パラメータ、引き出し制限、コントラクトのアップグレード、所有権の移転を確認する必要があります。 レガシーコントラクトをセキュリティ境界内に保つ コントラクトは、数年にわたりインシデントがなかったからといって安全になるわけではありません。 資産を保有している、償還（redemption）を処理している、プロトコルの権限を制御している、または現行の製品と接続し続けているいかなるデプロイも、検証済みのソースコード、コンパイラ前提の文書化、アクティブな監視、監査およびバグバウンティプログラムへの組み込みを備えるべきです。 AI支援による逆コンパイルは、攻撃者が古い算術、アクセス制御、バリデーションの欠陥を特定するのに必要な時間を短縮し得ます。これらのツールが進化するほど、セキュリティ・スルーオブスキュリティ（隠すことで守る）の有効性は低下します。 AIは既存の詐欺モデルを増幅している AIはKelp、Drift、Resolv、Echoの背後にある中核的な脆弱性を生み出したわけではありません。より直近の影響は、ターゲット調査、なりすまし、ローカライズ、継続的なコミュニケーションにかかるコストを下げることです。 2026年のChainalysis Crypto Crime Report（2025年の活動を分析）では、AIサービス提供者との識別可能な関連を持つ詐欺オペレーションは、それらの関連がない詐欺よりも約4.5倍収益性が高いことが分かりました。 この証拠は、2026年における高度な攻撃がすべてAIを使っていたと証明するために提示すべきではありません。AI支援によるオペレーションはすでにより高いリターンを生んでおり、いくつかの確立した手法をよりスケールしやすくしている可能性があることを示しています。
合成アイデンティティ
ディープフェイクの動画・音声になりすまし。
高度な偵察
ソーシャルおよび職業ネットワーク全体での調査（ターゲットリサーチ）。
多言語ソーシャルエンジニアリング
複数言語での長期にわたる会話。
適応型フィッシング
クローン化されたインターフェースとパーソナライズされたフィッシングページ。
自動化された脆弱性リサーチ
コントラクトと逆コンパイルされたバイトコードの自動分析。
想定される発展は、ソーシャルと技術の組み合わせになる可能性が高いです。ソーシャルエンジニアリングはクレデンシャルや認可を手に入れ、それが既存プロトコルの権限によってアクセスを金融損失へと変換します。 規制変更は、エクスプロイトの仕組みではなく説明責任を問う 欧州連合のMiCA移行期間は2026年7月1日に終了しました。対象となる暗号資産サービス提供者は、一般に、規制の範囲および各国の監督判断に従い、EU内で継続運営するための認可が必要になるのが一般的です。 MiCAは、ガバナンス、カストディ、運用上の制御、説明責任を強化できます。しかし、ブリッジが独立した検証者を使っているか、特権キーが適切に分離されているか、また認可された署名者が悪意のあるトランザクションを理解しているかどうかは決められません。 米国のGENIUS法（GENIUS Act）は2025年7月18日に法律として成立し、支払いステーブルコインのための連邦枠組みを定めます。 これは、すべてのブリッジ、取引所、ウォレット、あるいはDeFiプロトコルに対する一般的なサイバーセキュリティ体制ではありません。 規制は、誰が責任を持ち、どのセーフガードを用意すべきかを決めます。セキュリティ工学は、それらのセーフガードが機能する前に、偽造メッセージ、侵害されたキー、悪意のある承認が実行され得るかどうかを判断します。 2026年の残りで注目すべき点 2026年の最終的なセキュリティ像は、累積した見出しベースの損失だけで判断されるべきではありません。
セキュリティ・インテリジェンス：注目指標
損失の集中
一部の極端な事件が年間合計を引き続き支配しているかどうか。
攻撃面
ウォレット、管理、クラウド、インフラの侵害が、コード上の悪用よりも高コストになっているかどうか。
回復を調整した損害
凍結、返済、交渉による返還の後に、どれだけがなお不足しているか。
帰属の質
国家が支援する集団への暫定的な関連が、完了した調査によって裏付けられているかどうか。
制御の導入状況
次の大規模な攻撃の前に、プロトコルが独立した検証、トランザクションのシミュレーション、キー分離、そして強制可能な経済的制限を導入するかどうか。
このランキングは7月17日に作成されたスナップショットであり、年の最終記録ではありません。2026年の約46%が残っており、歴史的な損失額は、資産の回収、トークン価格の見直し、新たに判明したウォレット、そして名目エクスポージャーと実現された窃盗の区別がより明確になるにつれて変わり続ける可能性があります。 証拠は、より絞られた結論を裏づけています。価値の高い事件はますます、スマートコントラクトのロジックそのものよりも、その周辺にある制御システム（署名者、デバイス、RPCインフラ、特権サービス、検証ネットワーク）を狙う傾向が強まっています。
この記事は教育目的のみです。資産価格の変動、回収、帰属の修正、総エクスポージャー・実現された不正抽出・純損失の差異によって、インシデントの評価額は変わり得ます。
155.45K 人気度
72.06K 人気度
72.6K 人気度
118.24M 人気度
1.19M 人気度
2026年上半期までの最大の暗号資産ハックと詐欺
暗号資産のセキュリティ損失は、CertiKのH1セキュリティレポートによると、2026年上半期に344件の事件で13.16億ドルに達しました。約1.153億ドルが凍結または返還されたため、調整後の損失は約12億ドルになっています。 2025年からの改善のように見える点には文脈が必要です。前年の上半期合計には、例外的な14.5億ドルのBybit侵害が含まれていました。その単一の出来事を除外すると、CertiKは、2026年における同等の損失が約28%増えたと見積もっています。 これらの損失の分布は、合計と同じくらい重要です。1件あたりの平均コストは約382万ドルですが、中央値の損失はわずか13万8703ドルでした。そのため平均は中央値の27倍超で、少数の極端な失敗が全体結果を押し上げたことが分かります。 3件の事件だけで、Kelp DAO、Drift Protocol、そして標的型の2.84億ドル規模のフィッシングによる窃盗が、報告された上半期損失全体の約65%を占めました。 損失ランキングには数字は1つでは足りない 暗号資産のインシデント報告では、さまざまな形の損害を測る異なる指標同士を比較することがよくあります。
総損失（Gross loss）
回収が行われる前に、プロトコルまたは被害者から取り除かれた価値。
実現された不正抽出（Realized extraction）
攻撃者が実際に、譲渡可能な経済的価値へと転換できた資産。
純損失（Net loss）
凍結、返還、返済、回収の後に、なお失われている金額。
ユーザーの負債（User liabilities）
プラットフォームが負う請求権（攻撃者の当初の得ていた金額よりも大きくなったり小さくなったりし得る）。
名目エクスポージャー（Notional exposure）
攻撃者が全額を現金化できなかったとしても、不正に発行された、または危機にさらされた資産の理論上の価値。
以下のランキングは主に報告された総損失を使用しています。回収、争われた評価額、攻撃者の得た分とプラットフォームの負債との違いは、それぞれ別に記載します。 裏付けのないトークン作成を含むインシデントでは、実現された不正抽出は、不正な供給量の額面よりも重要です。そうでなければ、攻撃者が1000万ドル分の流動性の低いトークンを作ったとしても現実の担保として100万ドル分しか引き出せない場合、1000万ドルを盗んだと誤ってランキングされ得ます。 2026年に報告された最大の暗号資産損失
最近のセキュリティインシデントに関する声明
1月31日（APAC）の早い午後の時間帯に、約$40M がStep Financeのトレジャリーから流出しました。これは、当社の執行チームのデバイスが侵害されたことによるものです。
侵害を検知するとすぐに、私たちは作業を開始しました…
— Step☀️ (@StepFinance_) 2026年2月2日
当初のオンチェーン推定では、トレジャリーワレットとして最初に特定された約261,854 SOLに基づき、損失はより約2700万ドルに近いとされていました。Stepの後続の見積りでは、影響を受けた資産の範囲がより広く含まれています。 プロジェクトの総額見積りである4000万ドルを用い、回収額は別途報告することで、推定値の違いの理由を説明せずに1つの数字だけを選ぶよりも、より包括的な全体像が得られます。 攻撃の金銭的な影響は、攻撃者に送金された金額を超えて広がることもあります。緊急資金調達、法務費用、ユーザー補償、中断された運用、失われた収益により、最終的な事業への打撃が、最初のオンチェーン上の引き出し額より大きくなる可能性があります。 5. Humanity Protocol – 3600万ドル Humanity Protocolは、6月9日に攻撃を受けました。侵害されたデバイスによって、ウォレットデータと、特権を持つプロジェクト口座に紐づくプライベートキーが公開されました。 Humanityの公式説明によると、攻撃者はそのデバイスからプライベートキーをコピーし、それを使ってオンチェーン攻撃を実行しました。 また、同プロジェクトは、Ethereum Hトークンのコントラクトは別のクリーンなマルチシグで保護されており、その公式メインネットのブリッジは侵害されていなかったとも述べています。
https://t.co/VjouykTSPw
— Humanity (@Humanityprot) 2026年6月12日
公開されている推定は、約3100万ドルから3600万ドルの範囲に及びます。これは、盗まれたHトークンが、事件のさまざまな段階と異なる市場価格で評価されたためです。 より重要な構造的問題は、複数の特権クレデンシャルが1つの侵害されたエンドポイントに集中していたことでした。 マルチシグによる保護は、そのキーが人、デバイス、場所、管理環境に分散している場合にのみ意味のあるものになります。同じコンピュータ上に保存されていた、またはそこから復元可能だった複数のクレデンシャルは、オンチェーンの署名しきい値を満たしつつ、実運用上は1つの実用的な単一障害点として機能してしまいます。 6. Resolv Protocol – 約2680万ドル Resolv Protocolは、3月22日に、攻撃者がそのクラウドインフラを侵害し、AWS Key Management Serviceを通じて制御されるキーへのアクセスを得た後、悪用されました。 Resolvは、ユーザーが担保を預け入れた後に、オフチェーンのサービスを使ってUSRの作成を承認していました。 CertiKのインシデント分析によると、攻撃者は比較的小さな正規のUSDCの入金を行い、その後、侵害されたサービスロールを使って2回のトランザクションで約8000万USRを承認しました。 契約は、承認が承認済みのサービスからのものだと検証しました。最低出力量は設定されていましたが、ユーザーが預け入れた担保に紐づく最大金額は強制していませんでした。 特権サービスが侵害されると、攻撃者は暗号学的に有効ではあるが、経済的には裏付けのない承認を作成できるようになります。 これは、クラウドのキー管理サービスが暗号資産インフラとして本質的に不適切だという意味ではありません。より大きな設計上の問題は、1つのサービスロールに対して無制限の経済的権限が付与されていた点でした。 保護されたキーでも、署名を受け取るコントラクトが担保比率、ミント上限、取引制限、出金速度を独立して強制しない場合、致命的な障害点になり得ます。 7. Truebit – 2600万ドル Truebitは、1月8日に、2021年にデプロイされたボンディングカーブ・コントラクトにおける整数オーバーフローの脆弱性を通じて悪用されました。 そのコントラクトはSolidity 0.5.3でコンパイルされており、自動オーバーフロー保護がSolidity 0.8.0で導入される前のものでした。 攻撃者は例外的に大きな値を投入し、計算結果が0に近い数へと巻き戻るようにしました。これにより、ほぼETHをほとんど使わずに大量のTRUをミントでき、その後コントラクトが保有する実際のETHと交換（償還）できるようになりました。 Chainalysisは主要損失を2600万2000ドルと見積もりました。CertiKは、2人目の攻撃者によって約22.4万ドルが抽出されたことを含め、合算で約2660万ドルに近いとしました。 脆弱な実装はEtherscan上で公に検証されていませんでした。それでも攻撃者は調べることができました。 コントラクトのバイトコードは逆コンパイルでき、古いコンパイラ挙動は特定でき、疑わしい脆弱性はシミュレーションやブロックチェーン分岐でテストできます。 Truebitは、2026年に見られた広範なパターンに対する最大の例外です。その損失は、侵害された運用上の権限ではなく、公に実行されるロジックによるものでした。 また、資金や権限を保持している限り、休眠状態のコントラクトが監査、モニタリング、バグバウンティの範囲内に留まる必要がある理由も示しています。 なぜEcho Protocolは7670万ドルの窃盗としてランキングされないのか Echo Protocolは、攻撃者が侵害された管理者キーを使って、名目価値として7670万ドルを持つ、裏付けのない1,000のeBTCをミントしたため、7670万ドルの損失を被ったと説明されることがあります。 しかし攻撃者は、実際の資産として7670万ドルを抽出してはいません。 Merkle Scienceによると、偽造されたeBTCのうち45が、Curvanceのレンディング・プロトコルに預け入れられました。 攻撃者は、約11.29 WBTC（約86.7万ドル相当）を借り入れ、その後残りの955の裏付けのないeBTCは焼却（burn）されました。 正確な内訳は以下です。
名目額全体を盗まれたものとして分類すると、実現された損害はほぼ90倍に誇張されてしまいます。 Echoはそれでも重要な担保リスクの問題を浮き彫りにしています。CurvanceのオラクルはeBTCに付与された市場価値を正しく認識していましたが、それらのトークンが裏付けなしで作成されたものだとまでは判断できませんでした。 価格の整合性は、発行の整合性とは同じではありません。 外部発行された担保を受け入れるレンディング・プロトコルには、異常な供給作成、ミント権限の変更、突然の担保預け入れ、裏付けの検証、発行者レベルの管理者リスクに対する制御が必要です。正しい価格フィードだけでは、それらの問いに答えることはできません。 共通していたのはコントロールプレーン（制御系） 2026年の最大級の事件は、単一のコード脆弱性を共有していませんでした。共有していたのは、「そのコードに何を許すか」を決めるシステム側の弱点でした。 従来のインフラの用語で言えば、実行層（execution layer）は通常の処理を行い、コントロールプレーンは権限、設定、信頼できるデータソース、例外的なアクションを決定します。
この区別は、最大級の事件に非常によく当てはまります。
Kelp：検証者が、偽造されたソースチェーン上の活動のバージョンを受け入れた。
Drift：有効な署名が管理者権限を移した。
Step：侵害された執行者デバイスが、トレジャリー権限を露出させた。
Humanity：侵害されたエンドポイントが特権キーを露出させた。
Resolv：侵害されたサービスロールが、有効だが経済的に裏付けのない承認を作った。
Echo：1つの管理者キーで上限なしのミント権限が付与できた。
Truebit：例外は、レガシーなコントラクト・コードにおける算術上の欠陥。
CertiKは、年上半期に204件のコード脆弱性インシデントを記録し、損失は約1億5160万ドルでした。ウォレットの侵害は、たった33件のインシデントに対して4億4450万ドルを引き起こしました。 これは、コード脆弱性1件あたり平均約74.3万ドル、ウォレット侵害1件あたり平均1350万ドルになります。 平均すると、ウォレット侵害はコード脆弱性より約18倍高くつきました。 この比較が、スマートコントラクト監査の重要性を下げるわけではありません。署名者、RPC依存関係、管理用インターフェース、クラウドロール、緊急制御を除外した状態で契約を監査しても、金融システムのかなりの部分は未テストのまま残ることを示しています。 実際の失敗に対処する5つの制御 認証後に経済的制限を適用する 有効な署名は、そのアクションを承認した主体が誰かを示すべきです。無制限の経済的権限を与えるものではないはずです。 ミント、ブリッジ、担保承認、出金は、最大トランザクションサイズ、ローリング制限、担保比率、タイムディレイ、資産ごとの上限、自動停止などで引き続き制限できます。 これらの制御はクレデンシャル侵害を防げないかもしれませんが、侵害された1つのキーが直ちに無制限の負債を生み出すことは止められます。 キーの数ではなく、独立性を測る 3-of-5のマルチシグは、3つのキーが同一のノートPCから復元できたり、同じ企業アカウントで管理されていたりするなら、意味のある分散にはなりません。 NISTのキー管理ガイダンスは、承認、バックアップ、説明責任、職務分離、侵害対応、キーイング素材の保護を含むライフサイクル制御を重視しています。 プロトコルは、独立しているはずの署名者が、同じデバイス、パスワードマネージャー、クラウドテナント、復旧手順、物理的な場所、報告ラインを共有していないかを特定すべきです。 取引だけでなく関係性を監視する Kelpの悪用における各個別のトランザクションはすべて有効に見えました。検出可能な失敗は2つのチェーンの間にある関係性が欠けていたことでした。つまり、ソースチェーンでバーンが行われないまま、rsETHがEthereum上で解放されたのです。 ブリッジ監視は、関連するすべてのネットワークにおいて、ロック、バーン、ミント、リリースを継続的に突合すべきです。 同様の不変条件チェックは、預け入れた担保とミントされたトークン、準備金と流通供給、承認された引き出し上限と実際の流出を比較できます。 署名前に行政的意図（管理者の意図）をシミュレーションする ハードウェアウォレットはプライベートキーを保護しますが、正当なユーザーが悪意のあるトランザクションを承認しているかどうかまでは判断できません。 管理者トランザクションは、実行の前に別の環境でデコードしシミュレーションすべきです。 署名者は、トランザクションハッシュや判別できないウォレットのプロンプトだけでなく、結果として生じる権限変更、新たに承認された担保資産、価格パラメータ、引き出し制限、コントラクトのアップグレード、所有権の移転を確認する必要があります。 レガシーコントラクトをセキュリティ境界内に保つ コントラクトは、数年にわたりインシデントがなかったからといって安全になるわけではありません。 資産を保有している、償還（redemption）を処理している、プロトコルの権限を制御している、または現行の製品と接続し続けているいかなるデプロイも、検証済みのソースコード、コンパイラ前提の文書化、アクティブな監視、監査およびバグバウンティプログラムへの組み込みを備えるべきです。 AI支援による逆コンパイルは、攻撃者が古い算術、アクセス制御、バリデーションの欠陥を特定するのに必要な時間を短縮し得ます。これらのツールが進化するほど、セキュリティ・スルーオブスキュリティ（隠すことで守る）の有効性は低下します。 AIは既存の詐欺モデルを増幅している AIはKelp、Drift、Resolv、Echoの背後にある中核的な脆弱性を生み出したわけではありません。より直近の影響は、ターゲット調査、なりすまし、ローカライズ、継続的なコミュニケーションにかかるコストを下げることです。 2026年のChainalysis Crypto Crime Report（2025年の活動を分析）では、AIサービス提供者との識別可能な関連を持つ詐欺オペレーションは、それらの関連がない詐欺よりも約4.5倍収益性が高いことが分かりました。 この証拠は、2026年における高度な攻撃がすべてAIを使っていたと証明するために提示すべきではありません。AI支援によるオペレーションはすでにより高いリターンを生んでおり、いくつかの確立した手法をよりスケールしやすくしている可能性があることを示しています。
合成アイデンティティ
ディープフェイクの動画・音声になりすまし。
高度な偵察
ソーシャルおよび職業ネットワーク全体での調査（ターゲットリサーチ）。
多言語ソーシャルエンジニアリング
複数言語での長期にわたる会話。
適応型フィッシング
クローン化されたインターフェースとパーソナライズされたフィッシングページ。
自動化された脆弱性リサーチ
コントラクトと逆コンパイルされたバイトコードの自動分析。
想定される発展は、ソーシャルと技術の組み合わせになる可能性が高いです。ソーシャルエンジニアリングはクレデンシャルや認可を手に入れ、それが既存プロトコルの権限によってアクセスを金融損失へと変換します。 規制変更は、エクスプロイトの仕組みではなく説明責任を問う 欧州連合のMiCA移行期間は2026年7月1日に終了しました。対象となる暗号資産サービス提供者は、一般に、規制の範囲および各国の監督判断に従い、EU内で継続運営するための認可が必要になるのが一般的です。 MiCAは、ガバナンス、カストディ、運用上の制御、説明責任を強化できます。しかし、ブリッジが独立した検証者を使っているか、特権キーが適切に分離されているか、また認可された署名者が悪意のあるトランザクションを理解しているかどうかは決められません。 米国のGENIUS法（GENIUS Act）は2025年7月18日に法律として成立し、支払いステーブルコインのための連邦枠組みを定めます。 これは、すべてのブリッジ、取引所、ウォレット、あるいはDeFiプロトコルに対する一般的なサイバーセキュリティ体制ではありません。 規制は、誰が責任を持ち、どのセーフガードを用意すべきかを決めます。セキュリティ工学は、それらのセーフガードが機能する前に、偽造メッセージ、侵害されたキー、悪意のある承認が実行され得るかどうかを判断します。 2026年の残りで注目すべき点 2026年の最終的なセキュリティ像は、累積した見出しベースの損失だけで判断されるべきではありません。
セキュリティ・インテリジェンス：注目指標
損失の集中
一部の極端な事件が年間合計を引き続き支配しているかどうか。
攻撃面
ウォレット、管理、クラウド、インフラの侵害が、コード上の悪用よりも高コストになっているかどうか。
回復を調整した損害
凍結、返済、交渉による返還の後に、どれだけがなお不足しているか。
帰属の質
国家が支援する集団への暫定的な関連が、完了した調査によって裏付けられているかどうか。
制御の導入状況
次の大規模な攻撃の前に、プロトコルが独立した検証、トランザクションのシミュレーション、キー分離、そして強制可能な経済的制限を導入するかどうか。
このランキングは7月17日に作成されたスナップショットであり、年の最終記録ではありません。2026年の約46%が残っており、歴史的な損失額は、資産の回収、トークン価格の見直し、新たに判明したウォレット、そして名目エクスポージャーと実現された窃盗の区別がより明確になるにつれて変わり続ける可能性があります。 証拠は、より絞られた結論を裏づけています。価値の高い事件はますます、スマートコントラクトのロジックそのものよりも、その周辺にある制御システム（署名者、デバイス、RPCインフラ、特権サービス、検証ネットワーク）を狙う傾向が強まっています。
この記事は教育目的のみです。資産価格の変動、回収、帰属の修正、総エクスポージャー・実現された不正抽出・純損失の差異によって、インシデントの評価額は変わり得ます。