Finbold Researchのレポートによると、ブロックチェーンセキュリティ企業SlowMistが追跡したインシデントデータに基づくと、2026年第3四半期（Q3）に暗号資産企業を襲ったサイバー攻撃による流出額は11億7000万ドルを超えた。この総額は、損失が9億5500万ドルだった上半期（H1）全体と比較して急激な加速を示している。

9月は四半期で最も攻撃が活発な月となり、既知のインシデント50件で約7億6200万ドル相当の資金が影響を受けた。8月には40件近い攻撃で約1億8800万ドルの被害が発生し、7月には35件のインシデントで2億2400万ドル超の損失が記録された。

Finbold Researchは、2026年7月1日から9月30日までに記録された既知のハッキング額を用いてQ3 2026の総額を算出した。これらの数値は各インシデント発生時点での影響を受けた総額を反映しており、資金が返還・凍結・回収された後の最終的な未回収損失とは異なる場合がある。

上位5件のハッキングが四半期損失の81%を占める

2026年上半期と同様に、今四半期は少数の大規模攻撃が特徴となった。9月24日のBitgetハッキングだけで3億8750万ドルを占め、上位5件のインシデントの合計は9億5200万ドル——3カ月間の総額の81%に達した。この集中により、四半期総額の5分の1弱が残りのインシデントに分散して計上されており、単一のエクスプロイトの結果次第で四半期レベルの数値が大きく変動しうることを意味する。

2番目に大きいインシデントは、自己宣言した「ホワイトハットハッカー」のグループによるLiquid Networkからの3億2000万ドル相当のビットコイン（BTC）窃取で、彼らは数日以内に資金の大部分を返還した。ただしレポートは各インシデント発生時点の総額を計上しているため、返還があったにもかかわらず、この事件は四半期最大級の事件としてランクインしている。

3番目に大きい攻撃は約1億2000万ドル相当のTectonic資産を標的としたものだったが、完全には成功しなかった。攻撃者はチェーンが停止・ロールバックされるまでに1000万ドル未満の資金を引き出すにとどまり、この対応により最終損失は当初リスクにさらされていた価値のほんの一部に抑えられた。

その他にも、8月のOraichainエクスプロイト、同月のZeusインフラ侵害、7月のAcrossシグナルスプーフィング攻撃など、加害者を完全に手ぶらに帰したインシデントが複数発生した。

4番目に大きいインシデントは、最も懸念される事件だった可能性がある。Coldcardハッキングは1億ドル相当の資金に影響を与えただけでなく、ハードウェアウォレット——暗号資産の最も安全な保管方法の一つと長年考えられてきたデバイスカテゴリー——への侵入を伴ったものだった。ハードウェアウォレットは秘密鍵をオフラインで保管する仕組みであり、多くの保有者がオンラインの攻撃者の手の届かない場所に資産を置くためにこれに頼っているのはまさにそのためだ。

上位5件の最後を飾るのはAFX Bridgeのエクスプロイトで、バリデーターの署名鍵が侵害された結果、約2415万ドルの損失が発生した。ブリッジはブロックチェーン間で資産を移動させ、転送の承認をバリデーターに依存しているため、それを保護する署名鍵は重要な依存要素となっている。

2026年の損失は21億ドルに到達

今四半期は暗号資産分野へのサイバー攻撃の大幅な加速を表しており、2026年の累計損失は21億ドルに達した——2025年に盗まれた27億8000万ドルまで7億ドル弱の差となっている。

特筆すべきは、前年とは異なり、2025年第1四半期の15億ドルに上るBybit事件のような単一の超大型ハッキングなしに、盗まれた額が20億ドルを超えたことだ。

暗号資産セキュリティのQ4展望

レポートによると、2026年は記録上最悪の年の一つとなる可能性がある。報告の遅れは四半期終了後も長期にわたり四半期総額を押し上げうるうえ、10月の最初の9日間だけで既知のハッキングが11件発生しており——遅れた報告が入ればこの数字はさらに増加する可能性がある。

8月のラリーで始まった強気市場により、状況はさらに悪化しうる。強気市場は盗まれたコインやトークンの価値を押し上げるとともに、犯罪者にとってより大きな動機となる。レポートはまた、デジタル資産やその他の企業を標的とする自己宣言型の活動家ハッカーの増加を懸念すべき傾向として挙げている。

Liquid Networkの一件にも、複数のセクターで「ホワイトハット」を名乗る事件が発生している。ゲーム業界では、Grand Theft Auto 6（GTA6）のリーク犯が反消費者的な慣行を理由に業界を標的とした。同様に、Revolutのデータ流出は消費者保護の不備への懲罰として提示され、攻撃者は「IAmNotAVillain」という名乗りを選んだほどだった。

最後に、レポートは「AIエージェント」のテストの一環として、人工知能（AI）企業が競合他社や各国政府をハッキングする事例が近年増加していると指摘しており、2026年第4四半期の終わりまでにサイバー犯罪者が新しく強力なツールの恩恵を受ける可能性を示唆している。