2026年上半期（1〜6月）に発生した暗号資産関連のハッキング被害は、確認されただけで212件、被害総額は11億ドル超と、半年ベースで過去最悪を記録した。
主要ポイント
- 1〜6月に発生したオンチェーンの悪用事案は212件、被害額は11億ドル超で、半年として過去最多件数。
- KelpDAO（2億9,200万ドル）とDrift Protocol（2億8,500万ドル）など上位4件で、全体の約64%を占める。
- 北朝鮮と関係するとされるグループによる犯行が約6億900万ドル、全体の約55%に達した。
Blockaidが過去最多の暗号資産ハックを報告
ブロックチェーンセキュリティ企業Blockaidは火曜日、2026年上半期のセキュリティレポートを公表した。被害額・件数ともに、今月初めに公表されていた他社の統計を上回った。
レポートによると、Blockaidは1〜6月にかけて212件の個別インシデントと、11億ドル超の盗難を検証済みとして認定した。ハイバリューな大規模エクスプロイト（高額被害事案）は、2025年通年での記録に比べて3.4倍に増加している。なお、2025年は個別事案数こそ少ないものの、1件当たりの被害規模が大きく、通年の総被害額はより巨額だった。
2026年上半期の被害額のうち約64%は、わずか4件の大規模事案で生じた。これは、2025年通年で上位3件が占めた72%からは若干低下している。内訳をみると、KelpDAOが2億9,200万ドル、Drift Protocolが2億8,500万ドルの被害を計上したほか、裏付け資産のないResolvステーブルコインの8,000万ドル分不正ミント、CowSwapでの5,040万ドル分の不正承認が続いた。
これら4件はいずれも、スマートコントラクトのコード不具合が直接の原因ではなかった。攻撃者はLayerZero開発者の認証情報を奪取し、ついでRPCインフラを汚染することで、KelpDAOブリッジに対する不正なアテステーション（証明）を生成。シングルDVN構成の抜け穴を突き、資産ブリッジを突破したとされる。
一方で、新しいタイプの攻撃も表面化している。Arbitrum (ARB)上では、本番環境としては初となるEIP-7702ベースのウォレット委任機能を悪用した資産流出が発生したほか、Aztecでのプロトコル境界（proof-boundary）を突く2件のエクスプロイト、そして少なくとも7件のブリッジ関連インシデントが確認された。
こちらも読む: 暗号資産の「レンチ強盗」半年で52件、フランスが最多
北朝鮮系グループがハッキング被害を主導
Blockaidは、上半期のなかでも最大級の盗難について、共通の侵入経路を用いた国家系ハッカー集団によるものだと追跡している。
レポートは、KelpDAO、Drift Protocol、そしてHumanity Protocolへの侵入は、北朝鮮系ハッカー集団として知られるLazarus Groupのサブグループ「TraderTraitor」の犯行と分析。3件合計で約6億900万ドルと、上半期全体の約55%に達する規模だ。
4月に発生したDrift Protocolの事案では、攻撃者が12分足らずで管理者権限を奪取した。少なくとも2件の大規模インシデントは、LinkedInを介したソーシャルエンジニアリング（人間をだます手法）から始まっており、従業員・開発者を狙うリクルーティング型のアプローチが共通して確認されている。
同レポートは、こうした勧誘・詐称を起点とした手口には、構造的な抑止要因が見当たらないと警鐘を鳴らし、2026年下半期も同種の攻撃が継続すると予測している。
イーサリアムとソラナのチェーン別被害
Blockaidの最高経営責任者（CEO）であるIdo Ben-Natanは、2025年の被害総額を、わずか63件のインシデントで25億8,000万ドルに達したと説明している。この年は、Ethereum (ETH)とArbitrumが資金流出の主戦場となった。
その後、Solana (SOL)チェーンの被害が急増し、現在は被害額ベースで2番目に大きなチェーンとなっている。2026年上半期のソラナ関連被害3億2,600万ドルのうち、98%以上は秘密鍵や署名インフラの乗っ取りに起因していた。
それでも、1〜6月におけるチェーン別の被害額トップは依然としてイーサリアムで、約3億3,200万ドルに上る。こちらは主にスマートコントラクトのコード上の脆弱性が原因とされる。
他のセキュリティ企業も相次いで統計を公開している。CertiKは7月8日、2026年上半期の被害額を344件・13億2,000万ドルと報告。一方、TRM Labsは同期間について、207件・9億7,200万ドルのハック事案を記録したとしている。
いずれの統計も2025年を下回っているのは、2025年2月に暗号資産取引所Bybitが単独で14億5,000万ドルもの流出被害を出した特殊要因があるためだ。
