Crypto Long & Short：今年の9億7,200万ドルの暗号資産ハッキングがセキュリティについて実際に示していること

2026年に盗まれた暗号資産の大半は、スマートコントラクトのバグではなく、侵害されたキー、署名者、ガバナンスの仕組みを通じて流出していると、Immunefiの創設者兼CEOであるMitchell Amadorは述べている。同氏は、「監査を受けた」ことが決して「安全である」と同義ではない理由を説明している。

上半期の暗号資産ハッキングの数字がセキュリティについて実際に示していること

Mitchell Amador（Immunefi 創設者兼CEO）による

今月、攻撃者は約400万ドルを費やしてBonkDAOのトレジャリーから約2,000万ドルを流出させた。スマートコントラクトは故障しなかった。攻撃者は低参加率の投票でガバナンス提案を可決するのに十分なトークンを取得し、投票は記載通りに正確に実行された。ルール自体が脆弱性であった。

6月にも別の角度から同様の事態が繰り返された。同月の最大の損失であるHumanity Protocolでの3,000万ドル超の流出は、プロジェクト自身の説明によれば、チームメンバーの端末上の秘密鍵が侵害されたことが原因であり、コントラクトは手つかずのままであった。

これらのインシデントは、2026年の最悪の損失の特徴を示している。今年に入り暗号資産は約9億7,200万ドルを失った。インシデントの数は増え続け、資金はコントラクトのバグ以外の手段、つまり盗まれた署名鍵、設定ミスの検証者、誰でも投票で乗っ取れるトレジャリーを通じてますます流出している。このパターンは、インフラおよびヒューマンレイヤーの障害（コードの悪用ではない）が現在、盗まれた価値の大半を引き起こしているというより広範な業界データと一致している。これは、プロトコルが長年の監査とバグバウンティプログラムを通じてスマートコントラクトを堅牢化するにつれて加速し始めた変化である。

インシデントの数だけで判断すれば、業界は劣勢になっていると結論づけるかもしれない。しかし、実際に盗まれた総額を調べると、より限定的でより居心地の悪いパターンが浮かび上がる。

データは精密である。Immunefiが2021年から2025年にわたり研究した425件のハッキングにおいて、運用上の障害のわずかな割合が損失額の大半を占めている。2024年から2025年の期間では、191件のハッキングにおける全損失額の54.6%が、中央集権型取引所の侵害、すなわちコントラクトの上位にあるキー、カストディ、署名インフラに起因している。

これはコード層の問題が解決されたことを意味しない。重大な脆弱性は稼働中のコードの至る所に存在する。5年以上稼働しているプログラムの93.9%が確認された重大な脆弱性を表面化させ、確認された報告の約5分の1が重大と判定されている。コードも決して完成することはない。アップグレードのたびに新たな攻撃対象が生まれる。変化したのは、継続的でインセンティブ駆動のレビューがそのコードに対する攻撃者と同期できるようになったことであり、だからこそ同じモデルをさらに拡張する必要がある。

ここで標準的な対応策は行き詰まる。監査はある時点でのコードを検証するものである。誰が署名権限を持っているか、鍵がどのように保管されているか、ラップトップが侵害されたときに何が起きるかについては何も示さない。監査は不可欠であり、真剣なチームはすべて実施すべきだが、「監査を受けた」ことが「安全である」と同義であったことはない。あるプロトコルは11回監査を受けながらも1億2,800万ドルを失った。

実際にコントラクトコードを堅牢化してきたのは、継続的でインセンティブ駆動の圧力である。リアルタイムのバグバウンティプログラムと、より広範なモニタリングおよび迅速な対応能力を通じて、セキュリティ研究者は攻撃者が悪用する前に脆弱性を発見する報酬を受けている。約20,000ドルの中央値のバウンティが、平均約2,500万ドルの被害を出すハッキングを日常的に防いでおり、この支払いはプロトコルが行える最高のROIを誇るセキュリティ支出となっている。このモデルは止まることがないため、また組織図が変わったり署名者が離脱してもインセンティブが減衰しないため、成り立っている。

同じ規律が、キー、署名者、ガバナンスのルールをカバーしなければならない。さもなければ、これらの領域での壊滅的な損失は続くであろう。

では、監査はプロトコルを安全にするだろうか？ 単独では、ノーである。プロトコルは、そのコード、キー、人、ガバナンス、モニタリングのすべてがライブの攻撃対象として扱われ、それを先に破壊する報酬を受け取る研究者によって継続的にテストされたときに初めて安全と言える。

今週の見出し

Francisco Rodriguesによる

今週の見出しは、暗号資産の下落相場が貸借対照表と市場インフラを再編していることを示している。Strategyは現金を調達し優先株の買い戻しを開始した一方、BitMEXとBitMartはベアマーケットの打撃を受けて閉鎖を発表した。

Strategyが現金準備を37億5,000万ドルに増やし、2,500万ドルのSTRCを買い戻し： 同社（旧称MicroStrategy、上場企業として最大のBitcoin保有者）は、普通株の売却を通じて5億4,450万ドルを調達し、その一部を使用して288,930株のSTRCを買い戻した。843,775 BTCは変更なし。

永久スワップを発明した取引所BitMEXが閉鎖へ： デリバティブ取引所は11年の歴史に幕を下ろし、9月23日に閉鎖する。自ら開拓した市場を、より大規模な中央集権型の競合および分散型取引プラットフォームに奪われた。閉鎖は、2021年に未登録取引プラットフォームの運営とマネーロンダリング規制違反の罪で米国規制当局と和解した後、数年間にわたり市場シェアが低下していたことに続くものである。

BMXトークン急落の中、BitMartが9年の歴史に幕を下ろす： 同取引所は8月26日に取引を停止し、2027年1月31日に事業を終了する。閉鎖の具体的な理由は示されていない。

Revolutが従業員向け株式売却で1,150億ドルの評価額に到達： セカンダリー取引により、暗号資産にフレンドリーなデジタルバンクの評価額は1年足らずで53%上昇し、ヨーロッパで最も価値の高い非上場企業となった。

Clarity Act、議会の夏休み前に通過の窓を逃す見通し： 上院多数党院内総務のJohn Thuneは、同法案（デジタル資産を証券または商品として分類する米国の規制フレームワークを確立する、より広範な議会の取り組みの一部）が休会前に可決される可能性が低いと述べた。倫理問題やステーブルコイン利回りをめぐり議員の意見が割れているため、2026年の成立の可能性は低下している。

今週のチャート

PUMPの回復に伴い、Solanaのロングテールボリュームシェアが60%超に回復

ミームコインやその他のロングテールトークンは現在、Solanaボリュームの60%超を占めており、6月末の30%台後半から上昇した。PUMPは回復に密接に追従し、月間で42%上昇している。