メインコンテンツまでスキップ

スマートコントラクトの安全性は向上したが、仮想通貨の被害は悪化：2026年第1四半期のインフラ攻撃時代を読み解く

· 約 17 分
Dora Noda
Dora Noda
Software Engineer

2026 年第 1 四半期、DeFi のスマートコントラクトの脆弱性を突いた攻撃は前年同期比で 89% 減少しました。しかし、暗号資産（仮想通貨）業界全体では依然として約 5 億ドルの損失が発生しています。これが矛盾しているように聞こえるなら、そうではありません。これは The DAO 事件以来、Web3 セキュリティにおける最も重要な構造的変化なのです。10 年間にわたり仮想通貨のニュースを賑わせてきたバグは解決されつつあります。攻撃者が単に攻撃の場を上のレイヤーに移しただけなのです。

Sherlock の 2026 年第 1 四半期 Web3 セキュリティレポートは、その数字を鮮明に示しています。DeFi 特有の脆弱性攻撃は 2025 年第 1 四半期と比較して約 89% 減少しました。これは、監査、形式検証、そして実戦で鍛えられたコードがその役割を果たしていることを示す何よりの証拠です。Hacken の並行調査によると、同四半期の Web3 全体の損失額は 4 億 8,260 万ドルに達しており、そのうちフィッシングとソーシャルエンジニアリングだけで、わずか 44 件のインシデントで 3 億 600 万ドルを占めています。重心は移動しており、業界の防御策の大部分は間違った方向を向いています。

監査レイヤーは勝利し、運用レイヤーは敗北している​

10 年間、仮想通貨セキュリティの議論は Solidity に関するものでした。再入可能性（Reentrancy）、整数オーバーフロー、オラクル操作、フラッシュローンによる状態改ざんなどです。CertiK、Hacken、Trail of Bits、Sherlock、Spearbit、Cantina といった業界全体が、攻撃者よりも先にデプロイされたコントラクトのバグを見つけ出すという規律を中心に成長してきました。現在、形式検証エンジンは数学的にすべての到達可能な状態をチェックします。Mythril のようなシンボリック実行エンジンや Diligence Harvey のようなファザーは、何百万ものトランザクションシーケンスをシミュレートします。QuillShield のような AI 支援レビューツールは、既知の脆弱性集合と照らし合わせて分析を行います。

それは功を奏しました。2026 年第 1 四半期のスマートコントラクトレイヤーの損失（コード自体の誤動作によるもの）は、わずか 12 ヶ月前と比較しても、ごく一部に過ぎません。

しかし、ここには不都合な真実があります。2025 年、アクセス制御の失敗と運用セキュリティの崩壊による損失は約 21 億 2,000 万ドルに達し、同年の Web3 全体の損失額 39 億 5,000 万ドルの約 54% を占めました。対照的に、スマートコントラクトのロジックの欠陥による損失は約 5 億 1,200 万ドルでした。インシデント数で見ると、秘密鍵の漏洩、クラウドのキー管理の失敗、ブリッジバリデータの乗っ取りといった「インフラ攻撃」が、2025 年の時点ですでに支配的なカテゴリーとなっていました。2026 年第 1 四半期は、その不均衡が「ニューノーマル」として定着した四半期に過ぎません。

3 つのインシデントがその全貌を物語っています。

ケース 1： 2 億 8,200 万ドルのハードウェアウォレット詐欺電話​

2026 年 1 月 10 日、ある暗号資産ホルダーが、Trezor のカスタマーサポートチームを装った攻撃者によって、ビットコインとライトコインで 2 億 8,200 万ドル以上を失いました。その仕組みは残酷なほど単純でした。攻撃者は正当な Trezor サポートチャネルに見えるものを介して被害者に連絡し、「セキュリティ確認」の流れを説明して、リカバリーシードフレーズを開示させるよう説得しました。そこから、ウォレットの中身は数分で空になりました。1,459 BTC と約 205 万 LTC が流出したのです。

ZachXBT のオンチェーン分析により、資金洗浄の経路が追跡されました。攻撃者は盗んだビットコインを Thorchain のパーミッションレスなクロスチェーン流動性を介して ETH や XRP に変換し、再びライトコインに戻した後、一連のインスタントスワップサービスを通じて大部分を Monero にブリッジしました。ZeroShadow の調査員は、資金がプライバシー資産に渡る前にリアルタイムでフラグを立てることで、約 70 万ドルというわずかな額を差し押さえました。残りの 99.7% は消失しました。

ここで何が「悪用されなかった」かに注目してください。スマートコントラクトは攻撃されていません。プロトコルの監査が失敗したわけでもありません。Trezor のハードウェアは設計通りに動作しました。脆弱性は、困惑した人間と説得力のある詐欺師の間のギャップに存在しており、世界中のどの監査法人もそれを修正するような構造にはなっていません。

ケース 2： たった 1 つのクラウドキーにより、17 分間で 2,500 万ドルが不正発行​

Trezor のインシデントが人間側の攻撃表面を露呈させた一方で、2026 年 3 月 22 日の Resolv Labs へのハッキングはインフラ側の脆弱性を露呈させました。Resolv は、デルタニュートラルな合成ステーブルコインである USR を発行しています。スワップの仕組みをサポートするために、プロトコルは特権的な署名キーを AWS Key Management Service (KMS) 内に保持していました。スマートコントラクトはそのキーを信頼しており、そのキーで署名されたものはすべて、定義上「承認済み」とみなされました。

攻撃者は Resolv の AWS KMS 環境を侵害しました。Chainalysis と Halborn の事後分析によると、これはコントラクトの脆弱性ではなく、クラウド側の認証情報の露出によるものでした。攻撃者は SERVICE_ROLE キーを使用して、出力額を水増しした completeSwap を呼び出しました。合計約 10 万ドルから 20 万ドルの預金で、約 8,000 万の USR トークンをミント（発行）しました。最終的な搾取額は約 2,500 万ドルでしたが、被害額はそれを大幅に上回りました。

USR は 1.00 ドルから約 0.20 ドルへと 80% 急落（デペグ）し、数時間かけて約 0.56 ドルまで回復しました。そして、二次的な連鎖失敗が始まりました。PeckShield のアナリストは、次に起こったことを「シャドウ・コンタギオン（影の連鎖反応）」と名付けました。USR は Morpho Blue、Euler、Fluid 全体で担保資産および収益資産として統合されていました。USR の価格が崩壊するにつれ、それを担保にしていたポジションが清算され、貸し出された USR は回収不能となり、あらゆる形式的手段によって正しく設計されていたはずの 3 つのプロトコルに不良債権が波及しました。

Resolv のコントラクトは書かれた通りに正確に動作しました。監査報告書も間違っていませんでした。侵害は、監査が及ばない 1 つ下のレイヤーで発生したのです。

事例 3：2 億 8,600 万ドルのための 6 か月間に及ぶ諜報活動​

そして 2026 年 4 月 1 日、Solana 最大の無期限先物 DEX である Drift Protocol は、約 12 分間で約 2 億 8,600 万ドルを失い、その資金の大部分は数時間以内に Ethereum にブリッジされました。Elliptic、TRM、Chainalysis はその犯行を特定しました：UNC4736。これは AppleJeus や Citrine Sleet としても追跡されている北朝鮮（DPRK）関連のクラスターです。

これは偶然の産物ではありませんでした。Drift 自身のインシデント後の報告書によると、攻撃者は約 6 か月間、定量的取引（クオンツ）会社を装っていました。彼らは業界のカンファレンスで Drift のコントリビューターと面会しました。彼らは 100 万ドル以上の正当に見える取引資本を預け入れました。彼らはエコシステム・ボルト（Ecosystem Vault）を提案し、統合しました。彼らは、長期的な詐欺工作が信頼を築くのと同じように、忍耐強く、多額の費用をかけ、マルチシグの署名者に近づいてデバイスを侵害するという明確な目的を持って信頼を構築しました。

ついに実行された技術的なエクスプロイトは、悪意のある TestFlight ベータアプリケーションと、VSCode / Cursor 拡張機能に関わる脆弱性チェーンを悪用して、署名済みのマルチシグ認可を取得するものでした。タイムロックなしのセキュリティ評議会（Security Council）の移行（遅延なしでは存在すべきではなかったガバナンスメカニズム）により、プロトコルの最後の防御チェックポイントが排除されました。誰かが気づいたときには、マルチシグはすでに攻撃者のトランザクションツリーを承認していました。

いかなる量の Solidity レビューもこれを防ぐことはできません。Drift のコントラクトは今日も稼働し続けています。この侵害は、1 つの署名済みトランザクションで終わった 6 か月間にわたる人的諜報活動（ヒューマンインテリジェンス）によるものでした。

防御側のマップが間違っている理由​

一歩引いて考えてみましょう。2026 年第 1 四半期における暗号資産の損失額の分布は、おおよそ次のようになっています：フィッシングとソーシャルエンジニアリング — 3 億 600 万ドル、秘密鍵とクラウドキーの漏洩 — 残りの大部分、純粋なスマートコントラクトのエクスプロイト — わずかな少数派。インシデント件数の分布は、インフラストラクチャの方にさらに偏っています。2026 年第 1 四半期に分類されたインシデントの 76% は、秘密鍵の漏洩、クラウドキー管理の失敗、またはブリッジバリデータの承認権限の奪取に関係していました。

業界の防御的支出はこの分布と一致していません。典型的な中規模の DeFi プロトコルは、スマートコントラクトのレビューのために 1 監査サイクルあたり 20 万ドルから 100 万ドルを費やすかもしれませんが、以下のような項目には事実上ゼロです：

  • 署名キーをホストする AWS / GCP 環境のクラウドセキュリティ態勢管理（CSPM）。
  • マルチシグ署名者のラップトップにおけるエンドポイント検出および応答（EDR）。
  • サポートチームやパートナー関係に対するソーシャルエンジニアリングのレッドチーム演習。
  • ビルドパイプラインと IDE 拡張機能のサプライチェーンの要塞化（Drift の攻撃チェーンは Cursor を経由しました）。
  • 数時間ではなく、数分以内に対応できるインシデントレスポンスの顧問契約。

これを、銀行のコンプライアンスとインフラセキュリティに年間推定 300 億ドルを費やしている伝統的な金融と比較してみてください。クリプトの監査業界は目覚ましい成熟を遂げました。しかし、セキュリティスタックの残りの部分、つまり現在攻撃者が活動している場所に実際にマッピングされる部分は、おおよそ 1990 年代後半の銀行業界と同じレベルにあります。

今後 12 か月を定義する 3 つのパターン​

シャドー・コンタギオン（不透明な連鎖リスク）は、新たなシステムリスクです。 Morpho Blue、Euler、Fluid を通じた Resolv の連鎖（カスケード）は偶然ではなく、構造的なものです。ステーブルコイン、LST、利回りラッパーが互いに深く組み合わさるにつれ、単一の基盤資産におけるエクスプロイトがマルチプロトコルの問題へと発展します。私たちが機能として賞賛したコンポーザビリティ（構成可能性）は、セキュリティの観点からはヘッジされていない相関関係です。今後、プロトコルがレンディング市場で明示的な「構成リスクプレミアム」を課し始め、インデックス型のアグリゲーターがリアルタイムの「エクスプロイト波及範囲」指標を公開し始めることが予想されます。

国家支援による攻撃の特定は、もはやテールリスク（稀なリスク）ではなく、標準的な事例です。 北朝鮮のクラスターは 2025 年だけで暗号資産から約 20 億 4,000 万ドルを抽出しており、これは全損失の半分をわずかに超えています。Drift の作戦は、彼らが 9 桁（数億ドル）の報酬のために 6 か月というタイムラインを投資する意欲があることを示しています。北朝鮮（DPRK）の脅威モデルを大手取引所だけが計画すべきものとして扱うことは、もはや時代遅れです。マルチシグ、5,000 万ドルを超えるトレジャリー、またはエコシステム・ボルト・プログラムを持つすべての DeFi プロジェクトが実行可能な標的です。

フルスタック・セキュリティ認証が調達要件になります。 今日では、「[評判の良い企業] による監査済み」というだけで、ほとんどのフロントエンドやアグリゲーターに掲載されるには十分です。今後 12 〜 18 か月以内に、機関投資家、ETF 発行体、主要なフロントエンド・アグリゲーターは、Solidity だけでなく、クラウド構成、キー管理、エンドポイントセキュリティ、サプライチェーン、およびソーシャルエンジニアリングへの耐性を網羅する証拠を要求するようになると予想されます。この種のフルスタック証明を最初に公開するプロトコルは、真の配信上の優位性を獲得するでしょう。

「89%」という数字に関する不都合な真実​

「スマートコントラクトのエクスプロイトが 89% 減少」といった見出しは、勝利のように聞こえます。実際、そうです。監査業界はその勝利に値します。しかし、同じデータセットは、防御側が直視すべき別の物語を伝えています。攻撃者は経済的に合理的であり、常に脆弱な標的を見つけ出します。コントラクトレイヤーを閉鎖したことで、攻撃対象領域（アタックサーフェス）は単に秘密鍵、クラウドインフラ、サポートスタッフ、IDE 拡張機能へとルート変更されただけなのです。

良いニュースは、現在損失額の大部分を占めているほぼすべての攻撃ベクトルが、広範なサイバーセキュリティ業界が長年培ってきた技術（ハードウェア分離された署名、必須のトランザクションシミュレーション、キー使用に関する行動分析、ガバナンスフローの形式的な脅威モデリング、ソーシャルエンジニアリングに関する文化的慣行）で解決可能であるということです。そのどれもが研究段階のものではありません。すべてが実装作業であり、そのほとんどが行われていないのは、プロトコルチームがいまだに 2022 年の脅威モデルに基づいて予算を立てているからです。

今後 2 年間を生き残るプロトコルは、次の一文を内面化するプロトコルです：「監査は簡単な部分だった」。

BlockEden.xyz は、Sui、Aptos、Ethereum、Solana、および 25 以上のネットワークのビルダー向けに本番環境のブロックチェーンインフラストラクチャを運用しています。私たちは、キー管理、エンドポイントの要塞化、およびアクセス制御を、ノードソフトウェアと同じ厳格さで扱っています。API マーケットプレイスを探索して、スタックから運用リスクのクラス全体を排除するように設計されたインフラストラクチャ上で構築を開始してください。

出典​

Share on Twitter