2026年上半期（1～6月）に発生した暗号資産関連のハッキング被害額が、212件の確認済み事案で累計11億ドルを超え、半期ベースとして過去最悪を更新した。
主要ポイント
- 1～6月に発生したオンチェーン上の攻撃は少なくとも212件、被害総額は11億ドル超と、半年として過去最多件数。
- 被害の約64％は4件の大型インシデントによるもので、うちKelpDAOが2億9,200万ドル、Drift Protocolが2億8,500万ドルを占めた。
- 北朝鮮系とされるグループによる攻撃は約6億900万ドルで、上期全体の約55％に相当。
Blockaidが記録的水準のハッキング被害を公表
オンチェーン・セキュリティ企業のBlockaidは火曜日、2026年上期のセキュリティレポートを公表した。被害総額は、今月初めに他のトラッカーが報告していた水準を上回った。
同社は1～6月のあいだに発生した212件の個別インシデントを検証し、合計で11億ドル超の暗号資産が流出したと算出。また、2025年通年と比べて「高額被害」と定義する規模の攻撃件数は3.4倍に増加しており、金額ベースでより大きかった前年を件数面で大きく上回った。
被害額の約64％は4件の大型インシデントによるもので、2025年において3件の大型案件が全体の72％を占めていた状況からは、やや集中度が低下した格好だ。具体的には、KelpDAOが2億9,200万ドル、Drift Protocolが2億8,500万ドルを失ったほか、裏付け資産のないResolvステーブルコインの8,000万ドル相当の不正ミント、CowSwapにおける5,040万ドル規模の承認悪用が続いた。
注目すべきは、いずれの4件もスマートコントラクトの単純なコードバグが直接の原因ではなかった点だ。攻撃者はLayerZero開発者の認証情報を奪取したうえで、RPCインフラを汚染し、KelpDAOブリッジについて単一DVN構成の脆弱性を突いて不正なアテステーションを通過させた。
さらに、新しい攻撃手法も表面化している。Arbitrum (ARB)上では、本番環境として初となるEIP-7702ウォレット委任機能を悪用した流出が確認されたほか、Aztecでは2件の証明境界（proof boundary）関連の脆弱性が突かれた。ブリッジ関連のインシデントも少なくとも7件発生している。
関連記事: 暗号資産の「レンチ攻撃」が半年で52件、フランスで多発
北朝鮮系グループが被害の半数超を占める
Blockaidは、上期に発生した最大規模の窃取事案は、同一の侵入口を狙った国家関与グループによるものだと分析している。
同社は、KelpDAO、Drift Protocol、Humanity Protocolの3件の侵害について、北朝鮮のハッカー集団Lazarus Group内のサブグループ「TraderTraitor」の仕業と特定。被害額は合計で約6億900万ドルに達し、上期全体の約55％を占めた。Drift Protocolでは、4月にわずか12分足らずで管理者権限が乗っ取られており、いずれもLinkedInを起点としたソーシャルエンジニアリングから始まった大規模事案だという。
レポートは、このような人材採用を装った接近手法には本質的な制約がなく、年後半にかけても同様の攻撃が継続すると見込んでいる。
イーサリアムとソラナのチェーン別被害
BlockaidのCEOであるIdo Ben-Natanは、2025年の被害はわずか63件のインシデントで25億8,000万ドルに達していたと指摘した。その際は、Ethereum (ETH)とArbitrumが、流出資金の主な流通先となっていた。
その後、Solana (SOL)がチェーン別ランキングで2位に浮上しており、同チェーン上での3億2,600万ドル超の被害のうち、98％以上が秘密鍵および署名インフラの侵害に起因していたという。
2026年上期については、依然としてイーサリアムが約3億3,200万ドルで最多の被害を計上しており、その多くはコントラクトコードの脆弱性を突かれたものだった。
他社レポートとの数字の差も浮き彫りになっている。CertiKは7月8日付のレポートで、2026年上期に344件・13億2,000万ドルの被害を報告。一方、TRM Labsは同期間について207件、総額9億7,200万ドルのハッキングを集計している。
それでも、2025年の水準をわずかに下回っているのは、取引所Bybitが同年2月に単独で14億5,000万ドルを失う特大インシデントがあったためだ。