2026年8月は、今年を通じて暗号資産セキュリティを特徴づけてきた傾向をたどった。すなわち、高頻度のインシデント、多様な攻撃ベクトル、そして1件あたりでは重大ながら、全体としては壊滅的というより断片的な月となった損失である。TRM Labsによれば、2026年上半期だけで207件のインシデントを通じて約9億7,200万ドルが盗まれ、ハックの頻度では史上最高記録を更新した一方、損失総額は2025年のピークから減少した。スマートコントラクトの脆弱性は依然として最も一般的な攻撃ベクトルであり、秘密鍵の漏えいとインフラへの侵害が、個別損失額の大きい事例の多くを生んだ。

8月に記録されたインシデントは少なくとも8つのプロトコルとインフラ事業者にまたがり、1件あたりの確認済み損失は170万ドルから850万ドルの範囲だった。全体として見ると、これらは3つの持続的な失敗パターンを浮き彫りにする。すなわち、攻撃ベクトルと化したガバナンスおよび認可メカニズム、チェーンの整合性を脅かす連鎖的なプロトコルレベルのバグ、そしてその影響が財務諸表をはるかに超えて及ぶスマートコントラクトとインフラの弱点である。

ルール自体が攻撃経路になる:ガバナンスと認可の悪用

今月最も金額的に重大なインシデントであるTerm Financeの850万ドルの損失は、スマートコントラクトのバグではなく、ガバナンス設計の構造的欠陥によるものだった。攻撃者は、分散して保有されているガバナンストークンの過半数ポジションを低コストで取得し、プロトコルのストラテジーボールトの支配権を与える提案を可決させて、約2,843 ETH(当時の価値で687万ドル)と168万USDCを流出させた。これはTermのMeta Vaultsに保管されていた1,245万ドルの約68%に相当し、同プロトコルのEthereum預かり資産のほぼすべてに及ぶ。

PeckShieldとCertiKはこの損失見積もりをそれぞれ独自に確認した。ボールトがV3インフラを利用していたYearn Financeは、今回の攻撃はカスタムのガバナンスラッパーを悪用したものであり、標準的なYearnボールト構成には影響しないと明らかにした。Term Labsは、すべてのMeta Vaultsを恒久的に停止し、DAOガバナンスの権限を取り消し、出金は維持し、外部セキュリティチームと資産回収について調整する対応を取った。事態の重大さは制度的経緯によっていっそう増している。Termは、2025年4月のオラクルエラーで約918 ETHに相当する意図しない清算が発生した後、重要な更新についてガバナンスの透明性と第三者検証を約束していたからである。

この種のガバナンス乗っ取りには十分に記録された前例がある。Beanstalkは2022年4月、攻撃者がフラッシュローンを使ってガバナンストークンの過半数を取得し自動実行型の提案を可決させた結果、約1億8,200万ドルを失い、Tornado CashのDAOは2023年、同様に低コストの悪意ある提案によって乗っ取られた。Termの損失は、より厳格なガバナンス監視を公に約束していたプロトコルにおいてすら、この種の失敗が続いていることを示している。

BounceBitの300万ドルのエクスプロイトは、関連するが機構の異なる経路をたどった。BounceBitのレイヤー1の基盤であるEvmosブロックチェーンスタックの認可欠陥により、スマートコントラクトの呼び出し元が、暗号学的検証なしに取引の発信元として別のアカウントを指定できた。攻撃者は2日間で、単一の秘密鍵もウォレットデバイスも侵害することなく、約2億8,650万BBトークンを9つのウォレット間で移動させた。Evmos自体が5月以降開発を終了していたため、BounceBitは修復ではなくチェーンの恒久的な廃止を選び、攻撃前のスナップショットを用いてBBをBNB Chain上のBEP-20トークンとして再発行し、取引所と協調して影響を受けた顧客の残高を復元すると発表した。

両事例は、業界で十分に記録された変化を反映している。2026年上半期の損失の約44%はスマートコントラクトのバグではなく運用・インフラのセキュリティ欠陥に起因し、ウォレット侵害は最も損失額の大きい攻撃ベクトルとして顕在化し、攻撃者は鍵管理とマルチシグガバナンスを標的にしている。8月のガバナンス悪用は、この流れの延長線上にある。

連鎖する障害:プロトコルレベルのバグとチェーン整合性の危機

8月のいくつかのインシデントは、金銭的損失を超えて、確定済みブロックチェーンの状態の整合性を脅かす事態へとエスカレートした。これは、確定した取引が巻き戻されるリスクを伴い、ネットワークへの根幹的信頼を損なう、より深刻な結果である。ロールバックや深いリオルガナイゼーション(チェーンの再編成)は、ブロックチェーン史上最も激烈的な対応策に数えられる。典型例は、The DAOハック後の2016年のEthereumのハードフォークであり、チェーンが分裂してEthereum Classicが生まれた。また2019年1月のEthereum Classicに対する51%攻撃は、深いリオルガナイゼーションと二重支払いが実際に起こり得ることを後に示した。

THORChainのオープンソースコードを基に構築されたクロスチェーンDEXのMAYAChainは、23メッセージの取引が、トレードアカウント、送金処理、流動性プール計算にまたがる6つの連鎖するソフトウェアバグを突いた後、8月19日にネットワークを停止した。攻撃者は最終的に、プロトコルのAsgardボールトから4,887万CACAOトークンを引き出した。直接的な損失はBitcoinなどの資産で約170万ドルに達し、インシデント中にCACAOが88.7%下落したことも重なり、プール価値の毀損総額は推定1,090万ドルに上った。チームはBitcoinのOP_RETURNメッセージで攻撃者に連絡し、バグバウンティプロセスを開始し、回復に向けた個人負担を約束した。

Harmonyは、不正なONEトークンが鋳造され取引所に配布された後、8月11日へのロールバックを発表した。この復旧措置では10万9,000件を超える通常取引と315件のステーキング取引が破棄される。影響を受けた期間にわたる残高、ノンス、コントラクト状態の相互依存を考慮すると、選択的な復元は技術的に安全ではないと判断された。

Ravencoinでも、コンセンサスの脆弱性によりノードが高さ4,487,776以降の無効ブロックを受け入れるようになり、ネットワークのハッシュレートの過半を握るマイニングプールが競合チェーンの構築を始めたことで、同様の危機に直面した。リオルガナイゼーションが成功すれば、約3日分の確定済み取引が巻き戻される可能性がある。これを受けてUpbitとBitgetはRVNの送金を停止した。

トークン化された実物資産を標的とするブロックチェーンのMANTRAは、攻撃者がプロトコル外部で開発された上流の外部依存ソフトウェアの脆弱性を悪用した後、8月21日にブロック生成を停止した。停止前にトークンは18.5%下落して史上最安値を付けた。バリデーターは調整済みの修正版リリースを待ってオフラインのままであり、損失の全体評価はまだ進行中である。

スマートコントラクト、インフラ、拡大する攻撃対象領域

8月にはスマートコントラクト層とサプライチェーン層でも注目すべきインシデントが発生し、暗号資産のセキュリティリスクが運用スタック全体に及んでいることがあらためて示された。The Sandboxは、攻撃者がapproveAndCall関数を通じてLayerZeroのデリゲート権限を乗っ取り、裏付けのないSANDトークンを鋳造した後、BaseとBNB Smart Chainでのブリッジを無効化した。名目上の額面価値は約490億ドルとされたが、これは利用可能な流動性を大きく超えるトークン量に市場価格を適用した計算によるもので、実際に影響を受けた供給量はSANDの総量30億トークンの0.01%未満と確認され、EthereumとPolygon上のSANDには影響がなかった。

BTCPay Serverは、セルフホスト型のBitcoin決済インフラに影響する重大な脆弱性が実際に悪用されていることを公表し、ユーザーに対しバージョン2.4.2への更新または直ちにサーバーをオフラインにすることを求めた。確認済みの損失はまだ定量化されていない。

さらに、Trezorは、配送代行パートナーのShipMonkが不正アクセスを受け、7か国の約14,000人の顧客の氏名、メールアドレス、電話番号、配送先住所が露出したことを公表した。デバイスのファームウェアやオンチェーンの資金は侵害されなかったが、この事案はリスクの物理的な側面を浮き彫りにする。対面での脅迫攻撃は2026年上半期に推定3,000万ドルの損失をもたらしており、住居侵入が現在インシデントの37%を占めている。

拡大と多様化を続ける脅威環境

総じて、8月のインシデントは、業界の脆弱性の状況が拡大するとともに多様化していることを裏付けている。攻撃者はもはやスマートコントラクトのロジックの悪用にとどまらず、ガバナンスメカニズム、プロトコルの依存関係、コンセンサス層、第三者の物流事業者にまたがって活動している。今月の課題の多くは未解決のままである。Term Labsの資産回収の調整、BounceBitのBEP-20再発行と取引所での残高復元、MAYAChainのバウンティプロセス、Ravencoinの競合チェーンの解消、そしてMANTRAの修正版リリースと損失の全体評価である。効果的なリスク低減には、これらすべての攻撃対象を同時に考慮するセキュリティフレームワークがますます必要とされている。