ブロックチェーン・セキュリティ企業のCertiKによる新たな報告書によると、暗号資産の「レンチ攻撃」——被害者に物理的強制や危害を加えてデジタル資産を強制的に明け渡させる事件——は2026年上半期に急増した。

CertiKは2026年上半期に世界中で52件のレンチ攻撃を検証した。これは2025年同期の39件から33.3%の増加にあたる。自宅への侵入は最も一般的な攻撃手段となり、1年前のわずか1件から20件へと急増した。誘拐事件も12件から16件に増加した一方、強盗事件は5件から1件に減少した。

これらの攻撃に関連する推計金銭的被害規模は約1億2,410万ドルに達し、2025年上半期の1,050万ドルから大幅に増加した。CertiKは、この数値が確認された窃盗額よりも幅広いものであり、身代金要求、強迫下での送金、その後凍結または回収された資産、さらには失敗に終わった身代金要求の試みを含む可能性があると指摘した。

物理的強制への移行

CertiKは、犯罪者が純粋なデジタル防御を回避し、被害者とその家族に直接的な身体的圧力を加える意欲の高まっていることを、攻撃の激化の一因としている。自宅への侵入の急増はこの変化を最も明確に示しており、以前はCertiKのデータセットでまれにしか見られなかった攻撃手法が、2026年上半期には主要な戦術となった。

セルフカストディを利用するユーザーにとって、この報告書は重要な含意を持つ。プライベートキーとアカウント認証情報の保護に重点を置いた従来のセキュリティガイダンスは、攻撃者が技術的悪用ではなく物理的力による制御の獲得を狙う場合には不十分となる可能性がある。この違いは重要である。多くの暗号資産送金は一度承認・ブロードキャストされると、資金を凍結または追跡できる取引所、調査機関、その他の関係者による迅速な介入がなければ、取り消すことが困難だからである。

検証済み事例の大部分がフランス

事件の地理的分布は極めて集中していた。CertiKの報告では、52件の検証済み事件のうちヨーロッパが39件を占め、フランス単独で33件——世界全体の約3分の2——を占めた。

CertiKは、自社の手法がフランス当局のものよりも狭い範囲であったと指摘した。同社は独自に検証できた公に報告された事件のみをカウントしており、フランス政府がより幅広い事例に基づいている場合、同政府の数値はより高くなる可能性がある。

7月2日、フランスのローラン・ヌネス内務大臣は、2026年上半期に暗号資産に関連する誘拐、恐喝、または恐喝未遂事例を77件記録したと発表した。これは2025年通年の45件と比較した数字である。CertiKは、フランスの目立つ暗号資産エコシステムがこの傾向の一因となっている可能性を示唆し、データ漏洩や情報の流れが個人の身元や自宅の住所を認識された暗号資産保有量と結びつける可能性があると指摘した。

政府の対応と法執行

フランス当局は、この増加に対して的を絞った法執行と予防施策で対応した。ヌネス氏は、暗号資産保有者と専門家向けの専門予防プラットフォームと緊急通報システムを立ち上げたと発表した。また、緊急措置により200件の逮捕に至ったと報告した。

フランスの対応は、この問題がウォレットソフトウェアやブロックチェーン監視にとどまらないことを浮き彫りにしている。攻撃者が自宅や移動中の人物を標的にする場合、予防は暗号資産ビジネス、法執行機関、および資金が移動される前に脅威を報告する手段を必要とする可能性のある潜在的な被害者の間の調整にも依存する。

CertiKのウォレット設計に関する推奨事項

CertiKの推奨事項は、転送プロセスに摩擦を導入し、攻撃者が強制を不可逆的な取引に素早く変換できないようにすることを中心としている。同社は、物理的強制が多くのセルフカストディ手法の前提を覆す可能性があると主張した。特に、被害者がその場で送金を承認するよう強要される場合である。

圧力下で資金が移動される速度を下げるため、CertiKは以下の技術的・運用的な管理策を推奨した：

• マルチシグネチャまたはマルチパーティ計算（MPC）構成。脅迫された単一の個人が一方的に送金を承認できないようにする。
• 引き出し遅延。承認が開始された後の送金速度を低下させる。
• 支出制限。単一の強制取引による金銭的影響に上限を設ける。
• 地理的に離れた署名者。攻撃者が資金移動に必要なすべての関係者に同時に圧力をかけられないようにする。

これらの措置は、複数の承認を要求するか、被害者が支援を求めることができる時間枠を生み出すことで、攻撃者の優位性を削ぐよう設計されている。また、これらはより広範なセキュリティ原則も反映している。秘密性のみに基づいて構築された保管体制は、被害者が認証情報の開示や使用を強要された場合に脆弱になる可能性があるが、時間、距離、または複数の独立した承認を必要とするシステムは、即座の強制の価値を下げることができる。

リモート攻撃から物理的攻撃ベクトルへのエスカレーション

自宅への侵入の急増は、より広範なトレンドを示している。攻撃者はリモートの詐欺やオンラインアカウントの侵害から、被害者の直接的な身体的協力が中核的な脆弱性となるシナリオへと移行しつつある。この移行は、レンチ攻撃が幅広い結果をもたらす理由の説明にも役立つ。強迫下での送金の完了から、資産が後に回収されたり身代金要求が失敗に終わったりするケースまで様々である。

規制当局や法執行機関が対応を洗練させるにつれて、重要な課題は、特に事件が集中している地域において、防御策が追いつくかどうかである。エスカレーションのパターンが2026年下半期にも持続するかどうかについては、公的な報告と独立して検証されたデータセットの両方を監視する価値がある。