Lightning.newsがBitcoin Magazineに共有したレポートによると、2026年の暗号資産ハッキングによる純損失は、凍結や返還分を差し引いた後、これまでに約23.5億ドルに達している。セキュリティ研究者のStacy Muur氏は2026年に5万ドル以上ハッキングされたプロトコルのリストを作成し、年初来で230のプロトコルを対象としている。Muur氏は「暗号資産セキュリティは完全に終わっている」と書いた。

9月だけでMuur氏の集計のうち約7.68億ドルを占めた。これらの事件は、純粋なビットコイン自己管理型ハードウェアウォレットよりも、中央集権型取引所(CEX)と分散型金融(DeFi)プロトコルが主な要因だった。ただし、ハードウェアウォレットの故障はこの期間中、メディアで大きく取り上げられた。

最大の単一損失は、9月24日にBitgetのホット・ウォームウォレットから約3.875億ドルが盗まれた事件だった。ホットウォレットとは、出金処理のために取引所が管理するインターネット接続型の保管手段であり、資金が即時に移動可能なため、繰り返し標的となる。BitgetおよびChainalysis、Elliptic、TRM Labsなどのブロックチェーン分析企業は、この事件を北朝鮮と結び付けた。各社の評価では、過去の北朝鮮(DPRK)関連VPN利用と一致するIPパターンや、2025年のBybit窃取を含む以前のLazarus GroupおよびTraderTraitorの活動に関連するウォレットとのオンチェーン上の重複が根拠とされた。国連の制裁監視グループは長年、北朝鮮関連の暗号資産窃取を同国の収入源として記録してきた。

攻撃者は、秘密鍵を取得することなく、サードパーティ製セキュリティ製品を悪用して不正な出金コマンドを注入したと報じられている。

Liquid Network(Blockstreamのビットコインサイドチェーン)は、9月上旬に攻撃者がElementsソフトウェアのバグを悪用したことで、次に大きな損失を被った。Liquidのようなサイドチェーンは、独立した機能担当者による連合(フェデレーション)を通じてペッグされたビットコインを保護し、ビットコインのコードベースから構築されたオープンソースのElements上で動作している。この悪用により、攻撃者は約4,000 L-BTCを裏付けなしで発行し、当時約3.2億ドル相当のおよそ4,000 BTCの実物のビットコインとペッグアウトした。Galaxy Researchによると、損失額はこれに相当する。

自称ホワイトハットの攻撃者は、小規模なデータペイロード(短い公開メッセージを含む)をトランザクションに埋め込むことを可能にするビットコインのスクリプト機能であるOP_RETURNメッセージによるオンチェーン交渉を経て3,400 BTCを返還し、約600 BTCを保持した。連合の鍵は侵害されていない。損失はLiquidネットワークプロトコルにおける一種のインフレバグに起因した。

Samson Mow氏は後に、この事件を、Liquidに達する前に他のビットコイン関連ソフトウェアにも影響を与えていた「AI支援攻撃の雪崩」の一部と描写した。ネットワークは損失を補填した後、再び稼働している。補填資金は投資家からのものであったと推定されており、Liquidはその後復旧を発表した。

DeFiプラットフォームも同様に、特定の高額損失パターンを示した。これらの事件では、攻撃者は暗号技術そのものではなく、管理手段——ガバナンスプロセスやプロトコル財務のマルチシグ設定——を標的とした。Drift Protocolは4月、数か月にわたるソーシャルエンジニアリングを伴うガバナンスおよびマルチシグの侵害により、約2億8500万ドルから2億9600万ドルを失った。プロジェクトが委託した調査は、この攻撃を北朝鮮の攻撃者によるものとした。

KelpDAOのLayerZeroを利用したrsETHブリッジは、単一検証者設計が侵害された後、裏付けのないトークン約2億9200万ドル分が流出した。ブリッジはクロスチェーン転送を証明する検証者群に依存しており、単一の署名のみを要求する設計は信頼を一者に集中させる。LayerZeroは、予備的な指標がDPRKのLazarus Group、具体的にはTraderTraitorを示していると述べた。Cronos上のTectonicでは8月下旬、操作された担保に対して約1億2040万ドルが借用された。その後バリデーターがチェーンを巻き戻し資金の大半を回収したが、すでにネットワーク外へブリッジされていた数百万ドルは返還されなかった。この事件はBitqueryによって記録されている。

ビットコインハードウェアウォレット関連の事件は、報道の規模の割に合計では小さかった。Galaxy ResearchはCoinkiteのRNGハッキングを約1,596〜1,789 BTC(約1億〜1億3000万ドル相当)と推定し、より高い上限推定では約2,055 BTCに達するとしている。ハードウェアウォレットにおいて乱数生成器(RNG)は、デバイス上で生成される秘密鍵の予測不可能性を決定するため、RNGの弱点は鍵がデバイスから出ない場合でも鍵の秘匿性を損ない得る。この評価はGalaxy Researchが公表した。

Ledgerの約8600万〜1億200万ドルの損失は、東南アジアの正規販売代理店CryptoBilisを通じて販売されたデバイスに遡ることが判明した。不正なハードウェアインプラントが初期設定時にリカバリーフレーズを取得しており、この事件はサプライチェーン攻撃(製造から最終利用までの間に、製造元のシステムを経由せず製品が侵害される攻撃)に分類される。Ledgerは、確認済みの事例は同代理店のサプライチェーンに限られ、自社システムおよび直接販売には影響がないと述べた。改ざんされたデバイスがドイツ市場にも流入した可能性があるとの未確認報道もある。

これらのハードウェア関連事件を合計しても、最大のCEXおよびDeFi攻撃による損失を大きく下回っている。

この年はまた、コードベースの脆弱性を走査しエクスプロイト開発を自動化できるAIコーディングエージェントの実用展開と重なった——専門的なセキュリティ監査が標準的かつ高額な公開前工程とされてきた業界にとって影響のある変化である。Muur氏は「AIはバグの発見と悪用を確実に容易にしている。我々はかなり深刻なサイバーセキュリティの軍拡競争に入りつつある」と述べた。この発言は別の投稿に含まれていた。

報道によると、コードの脆弱性を突く攻撃は、2月にリリースされたGPT-5.3-CodexやClaude Opus 4.6などのモデルが、低コストでスマートコントラクトのバグベンチマークにおいて高い成功率を示した後、加速した。OpenAIは、エージェントがテストネットの資金に不正にアクセスしたり、タスクを完了するために管理を回避した内部テスト事例を開示している。

今年の大型窃取事件の大半は、鍵の漏洩、ソーシャルエンジニアリング、インフラの欠陥といった従来型の攻撃経路に依存していた。しかし、バグの発見と武器化のハードル低下は、特に複雑なスマートコントラクトシステムやサイドチェーンに対して新たなリスクをもたらしている。

ビットコインのベースレイヤー自体はこれらの損失の発生源ではない。2026年の損害の大部分は、CEXのホットウォレットインフラ、DeFiガバナンス、オラクル設計、ビットコインサイドチェーンのコードに集中している。純粋な自己管理型ハードウェアウォレットは、故障の影響を受けないわけではないものの、明らかに小さい割合にとどまっている。

それでもなお、業界リーダーからは自己管理に関する推奨事項の更新を求める声が上がっており、複数ベンダーのマルチシグウォレットを業界の一部における将来の管理基盤として推進する動きがある。このような構成では異なるメーカーの署名デバイスによる承認が必要となるため、単一の欠陥のある、あるいは侵害されたベンダーだけでは資金を移動できない。Muur氏の集計が増え続けるなか、管理ガイダンス、サードパーティ製セキュリティ製品に対する取引所の審査、DeFiガバナンス管理が今年の教訓にどう対応していくかが注目すべき点である。本記事はBitcoin Magazineが初めて公開したもので、執筆はJuan Galt氏による。