PeckShieldの月次セキュリティレポートによると、暗号資産プロジェクト、ウォレット、インフラ事業者は7月に30件の主要ハックにより約2億1030万ドルの被害を受け、6月に記録された7587万ドルから177.2%の増加となった。

同ブロックチェーンセキュリティ企業の7月集計では、Coldcard関連のウォレット流出が約7000万ドルで最大の事案と特定され、次いでAFX TradeとOstiumがそれぞれ約2400万ドルとなった。被害はガバナンスシステムの悪用、ブリッジの侵害、オラクル操作、プロジェクト管理ウォレットの侵害、特権スマートコントラクトの脆弱性など複数の攻撃ベクトルにまたがった。攻撃タイプの広がりは、月次急増の原因が暗号インフラの単一カテゴリーに起因するものではなく、事案がカストディアル、DeFi、クロスチェーンシステムに分散していることを示している。

Coldcard流出が2026年3番目の暗号資産盗難に

Coldcard事案は、Blockの研究者が同一のウォレットフィンガープリントを共有する2つのトランザクショングループ間で最大1,082.59 BTCを追跡した後、7月で最も重大なセキュリティ侵害として浮上した。

Coldcardハードウェアウォレットの製造元であるCoinkiteは、ファームウェアバージョン4.0.1から5.0.3を実行するColdcard Mk3デバイスでシードフレーズを生成したユーザーに対し、当該ウォレットを潜在的に侵害されているものとして扱うよう警告を発した。根本的な脆弱性により、シードフレーズは意図されたものより著しく低いエントロピーで生成され、セットアッププロセスに関する十分な知識を持つ攻撃者が復元フレーズの候補範囲を大幅に絞り込める可能性があった。ハードウェアウォレットは秘密鍵をオフラインで保存するため自己保管のベストプラクティスとして広く推奨されており、この種のシード生成欠陥はセキュリティコミュニティ内で特に注目される。

約7000万ドルの被害は、2026年に報告された暗号資産盗難としては、2億9200万ドルのKelpDAOおよびLayerZeroブリッジ悪用と、2億8500万ドルのDrift Protocol侵害に次ぐ3番目の規模となる。Coinkiteは、Blockが特定したすべてのトランザクションがMk3ファームウェアの脆弱性に起因するものとは確認していない。

ブリッジ、オラクル、ガバナンス悪用が月間被害に寄与

AFX TradeのArbitrumブリッジは、5つのホットバリデーターに関連する署名が必要な承認閾値に達した後、24.15 million USDCを失った。攻撃者はステーブルコインをEthereumに転送し、約12,467 ETHに交換した。クロスチェーンブリッジは、マルチシグネチャーやバリデーターのアーキテクチャが鍵管理や閾値制御の侵害時に単一障害点を生みうるため、暗号資産の悪用で最も標的とされやすいカテゴリーの一つに繰り返し位置づけられてきた。

PeckShieldはOstiumオラクル悪用による被害推定を上方修正し、最大1800万ドルとした当初の評価を上回る約2400万ドルとした。攻撃者は承認された未来日付の価格レポートを悪用し、プロトコルのUSDC流動性ボールトに対して人工的な取引利益を生成した。

悪意のあるガバナンス提案により、BonkDAOのトレジャリーから約2120万ドルが引き出された。また別件で、WanchainのCardano-BNB Chainブリッジは、署名の再利用が疑われる脆弱性に関連するトランザクションを通じて515 million NIGHTトークンがトレジャリーから流出した後、約1300万ドルの被害を出した。

追加の事案が約3900万ドルの被害を計上

決済事業者Triple-Aに関連するウォレットは、資産がEthereum上に統合される前に4つのブロックチェーンネットワークで970万ドル超の被害を出した。Bonzo Lendは905万ドルのオラクル悪用を受け、Verus Ethereum Bridgeは対応する預金なしに資産を放出するインポート検証の不具合により754万ドルの被害を出した。

WEMIXはコントラクトオーナーシップの侵害による被害を約625万ドルと報告し、Summer.fiからはボールト会計の悪用により約604万ドルが引き出された。

上位10件の事案は合計約1億9100万ドルを占め、7月に記録された残り20件のハックには約1930万ドルが分散した。