2026年9月、暗号資産のプラットフォームおよびユーザーは、ハッキング、エクスプロイト、フィッシング攻撃により約7億6,700万ドルの損失を被り、2つのブロックチェーンセキュリティ企業CertiKとPeckShieldの検証済みデータによると、今年これまでで最も被害額の大きいセキュリティインシデントの月となった。

この集計は、取引所、プロトコル、個別ユーザーに影響を与えたハッキング、エクスプロイト、フィッシング攻撃を対象としている。CertiKは当月に97件のインシデントを記録し、損失額は7億6,840万ドル、一方PeckShieldは55件の主要インシデントを記録し、損失額は7億6,650万ドルとなった。両社のインシデント件数は異なるものの、損失額の推計は約200万ドル以内の差で一致しており、月間のドル総額が少数の非常に大規模な侵害によって支配される場合に生じうる乖離である。

2件のインシデントが当月の損失の90%以上を占めており、9月の総額が少数の大規模侵害に大きく依存する形となった。最大のものは2026年9月24日にBitGetを襲った攻撃で、取引所のホットウォレットが関与し、約3億8,750万ドルの損失となった。ホットウォレットは日常的な出金処理に使用されるインターネット接続型のウォレットであり、オフラインのコールドストレージよりも一般的に露出が大きい設計である。侵害の進展に伴い、BitcoinKEが報じたところによると、BitGetは盗まれた資金が4億ドルに迫っていると述べた。

今月上旬には、取引所とトレーダー間の決済にされているBlockstreamのLiquid Network(連合型のBitcoinサイドチェーンであり、許可のないマイナー群ではなく定められた機能者群によって転送が検証されるネットワーク)が、約3億1,870万ドル規模のエクスプロイトを被った。詳細はBitcoinKEのケーススタディで取り上げられている。

CertiKによると、2026年9月の損失のうち約2億7,060万ドルは返還または凍結されており、同社の数値に基づけば約4億9,580万ドルが未回収のままとなっている。返還・凍結された資金は未回収の損失とは別に追跡されるため、回収活動の進展に伴い当月の最終的な損益計算は変動しうる。

CertiKによると、2026年9月の総損失額は2026年8月に報告された約2億1,500万ドルの3倍以上であり、急激な前月比増加となった。

2026年9月の急増は、暗号資産の損失がスマートコントラクトの脆弱性だけでなく、ウォレットインフラ、サードパーティのセキュリティシステム、トランザクション署名管理にもますます結びついていることを浮き彫りにしている。このパターンは当月の2件の主要インシデントの両方に見られ、一方は取引所のホットウォレットを、他方は取引所間で資金を移動するために使用されるサイドチェーンを標的とした。

出典:BitcoinKE