2026年9月、暗号資産関連のセキュリティインシデントによる被害額は約7億6,840万ドルに達し、今年最悪の月となった。
主要ポイント
- セキュリティ企業CertiKは97件のインシデントを確認し、推定被害額は7億6,840万ドルと算出。一方、PeckShieldは55件・7億6,650万ドルと集計した。
- BitgetとLiquid Networkの2件だけで、PeckShieldが把握した9月の被害額の約92％を占めた。
- CertiKの年初来データでは、9月末までに累計656件のセキュリティインシデントが発生し、被害額は約26.8億ドルに達した。
Bitgetで発生した大規模流出
9月は、年間で最も暗号資産被害額が大きい月となったが、各社がカウントする件数は異なった。
中でもBitgetのインシデントが単独最大となり、同社の推計損失は当初の3億5,160万ドルから3億8,750万ドルへと上方修正された。調査の結果、攻撃者が支配するアドレスに送られた暗号資産の正確な規模が確認されたためだ。この流出額だけで、CertiKが集計した9月分の被害総額のおよそ半分を占める。
一方、9月6日に発生したLiquid Networkの不正は性質が異なる。検証プロセスの不備により、攻撃者は裏付けとなるBitcoin (BTC) が存在しないにもかかわらず、約4,000枚のLiquid Bitcoin (L-BTC) を新たに発行できてしまった。その後、攻撃者はネットワークの出金メカニズムを利用してほぼ4,000BTCを引き出し、Liquidのビットコイン準備残高は約4,205BTCから197BTCへと急減した。
CertiKは、3,998.5 L-BTCの攻撃発生時価値を約3億1,870万ドルと評価している。その後、資産の大部分は返還され、報道によれば2億7,000万ドル超が戻り、3,400BTCがネットワークの準備金として回復した。
関連記事: ビットコインは11万3,000ドルに到達できるか──シティはETF資金流入が押し上げると予測
CertiKが示すセキュリティの実態
Bitgetの不正流出について調査したSlowMistは、Bitgetの侵害に関連する不審なオンチェーン活動が、実際の盗難発生より数週間前から確認されていたと指摘した。ただし、現時点で特定の犯行グループ名は公表していない。Bitgetのグレイシー・チェン（Gracy Chen）CEOは、北朝鮮系ハッカー集団が関与している可能性があるとの見方を示した。
Bitgetはその後、Bitcoin、Ethereum (ETH)、Tether (USDT) の出金サービスを再開。対象19銘柄の準備金比率は131％を維持していると説明し、3億ドル超を積み立てた「プロテクション・ファンド」により顧客保護を図るとして、取引所としてのフル機能を段階的に復旧させている。
9月は大規模案件以外にも複数のインシデントが発生している。Safe Walletでは約780万ドル、DCENTで600万ドル、Duelbitsで590万ドルの損失が発生したとされる。CertiKはこのほか、後に全額返還されたMEV関連の781万ドル相当の盗難事案や、Nostraのオラクルを狙った350万ドル規模の攻撃も指摘した。
9月末時点で、CertiKが把握した2026年の累計被害は656件・約26.8億ドルに達した。BitgetとLiquid Networkという異例に大きな2件の侵害が、単月の統計を一気に押し上げた格好であり、暗号資産市場全体のインフラ脆弱性をあらためて浮き彫りにしている。
