Hacken 2026年 第1四半期:4億8,200万ドルの盗難と、クリプトの「監査至上主義」を打ち砕いた四半期
わずか 1 回の電話で、ある個人が 2 億 8,200 万ドルを失いました。スマートコントラクトが不正利用されたわけでも、Solidity のコードが 1 行でも書き換えられたわけでもありません。2026 年 1 月 10 日、IT サポート担当者を装った人物が、暗号資産保有者を言葉巧みに誘導し、ハードウェアウォレットの「復元」フローを実行させ、大半の DeFi プロトコルの TVL(預かり資産)を上回る額のビットコイン(Bitcoin)とライトコイン(Litecoin)を奪い去りました。Drift や Kelp DAO の規模を単独で上回るこの一件だけで、2026 年第 1 四半期に Web3 業界で失われた総額の半分以上を占めています。
Hacken の 2026 年第 1 四半期ブロックチェーンセキュリティ&コンプライアンスレポート によれば、この四半期全体の被害額は 44 件のインシデントで計 4 億 8,260 万ドルに達しました。フィッシングとソーシャルエンジニアリングだけで 3 億 600 万ドルに上り、四半期の被害総額の 63.4% を占めています。スマートコントラクトの脆弱性を突いた攻撃は、わずか 8,620 万ドルに留まりました。一方、秘密鍵の漏洩、クラウド認証情報の不備、マルチシグの乗っ取りといったアクセス制御の失敗による被害が、さらに 7,190 万ドル積み上がりました。計算は単純明快です。前期、バグのあるコードから 1 ドルが盗まれるごとに、攻撃者はコードの周辺にある人間、プロセス、認証情報を介して、その約 3.5 倍もの資金を搾取したことになります。
「監査済み」を「安全」の代名詞として 5 年間扱ってきたこの業界にとって、2026 年第 1 四半期の数字は一種の介入(インターベンション)といえます。攻撃対象(アタックサーフェス)は移動しましたが、対策費用は以前のままです。