2026年上半期はブロックチェーン史上最も攻撃を受けた期間となり、オンチェーンセキュリティ企業Blockaidは合計11億ドルの損失につながった212件のインシデントを確認した。この件数は、2025年通年で記録された高閾値のエクスプロイト件数の3.4倍だった。

総額は2025年の水準を上回らなかったものの、これは単一の事案が15億ドルのBybitハッキングに匹敵しなかったことが主因であり、攻撃の件数と高度化は脅威環境の構造的な悪化を示している。プロトコル運営チームやインフラ提供者にとって、この報告は、単一の制御失敗が半年間の損失合計を左右しうる一方で、攻撃手法が複数の対象へ拡散すると、比較的小規模な被害も急速に積み上がることを示している。

損失の集中は非常に強かった。最大の4件は、KelpDAOの2億9,200万ドル、Drift Protocolの2億8,500万ドル、Resolvの8,000万ドル、CowSwapの5,040万ドルで、上半期損失全体のおよそ64%を占めた。KelpDAOとDriftは、北朝鮮のLazarus GroupのサブグループであるTraderTraitorに直接帰属している。別途帰属されたHumanity Protocolの3,200万ドルの侵害も含めると、DPRK関連の攻撃者は約6億900万ドル、期間全体の55%を占めた。

侵害された秘密鍵は、損失の主因として圧倒的だった。Blockaidは、約10件のインシデントを通じて、約7億8,900万ドル、上半期損失のおよそ74%を秘密鍵侵害が占めたとしている。2件の最大級の攻撃は、コントラクトの脆弱性からではなくソーシャルエンジニアリングから始まった。DPRK側のオペレーターは、LinkedIn風の手口でDriftとKelpDAOの従業員を標的とし、最終的にマルチシグ署名者とブリッジ検証インフラの制御を獲得した。特にKelpDAOでは、LayerZeroブリッジの単一DVN構成を悪用してクロスチェーンのアテステーションを偽造し、Ethereumのエスクローから2億9,200万ドルを流出させた。

既存の盲点と新規ベクトルが攻撃対象を拡大

コードエクスプロイトは合計2億300万ドルと全体では比較的少額だったが、件数ベースでは大半を占め、全ケースの約80%に達した。最大のコードエクスプロイトは、Resolvによる8,000万ドルの無担保ミントだった。

より小規模だが繰り返し見られたのは、チームが移行済みでありながら完全には廃止していなかったレガシーまたは非推奨コントラクトを狙う手口だった。5月と6月には、Aztec Connectのロールアップへの2件の個別攻撃や、Raydiumの非推奨AMM V3に対する検証エクスプロイトを含む5件の事案が発生し、合計で約570万ドルとなった。これらは、移行スケジュールがシステムの廃止と同義ではないことを示している。

2026年上半期には、3つの新しい攻撃ベクトルが初めて確認された。新しいEthereum標準で導入されたEIP-7702のウォレット委任は、4件のインシデントで悪用された。5月にはBankrエージェントに対するAIプロンプトインジェクション攻撃が発生し、同種の事例としては初めて、権限のない取引を自律システムに承認させることで21万6,000ドルを奪った。さらに、オフチェーンのブリッジ証明インフラも初めて標的となり、KelpDAOとTaikoはいずれも、宛先チェーンが受け入れた偽造証明によって侵害された。

回復の結果は大きく分かれた。コードエクスプロイトでは、緊急停止機能やオンチェーンでの調整により、一部資金が回収される場合があった。一方で、鍵の侵害では回収はほぼ見られず、盗まれた資産は通常、数時間以内にミキサーへ移されていた。この期間で最も効果的な封じ込めはStellar上で発生し、Blockaidによるリアルタイムのウォレットクラスタリングによって、バリデータが1,020万ドル規模のオラクル操作流出の73%にあたる730万ドルを、攻撃から数分以内に隔離できた。

The post Crypto Losses Hit $1.1B In First Half Of 2026 As DPRK Actors And New Attack Vectors Drive Record Incident Surge appeared first on Metaverse Post .