2026年上期の「物理的」暗号資産攻撃被害が1.24億ドルで過去最大

ブロックチェーンのセキュリティ水準は、これまでになく高度化している。監査会社はスマートコントラクトのバグを数時間で洗い出し、マルチシグウォレットやハードウェア署名デバイス、ゼロ知識証明といった仕組みにより、オンチェーンでの不正流出は、技術的に最も優れた攻撃者にとってすら難易度が上がっている。

それにもかかわらず、2026年上期だけで、窃盗犯は1行のエクスプロイトコードも書かずに、暗号資産1億2,400万ドル分を奪い去った。

使われたのはレンチ（スパナ）だった。

ブロックチェーン監査企業CertiKが7月23日に公表した「Intel3D Wrench Attacks Report H1 2026」(released)は、実名あるいは資産保有が推測される暗号資産ホルダーを狙った、物理的な強要・脅迫型攻撃が急増し、しかも加速している実態を示している。現在のペースが続けば、2025年通年の被害額をほぼ倍増させる勢いだ。取引所外で自己保管を行う個人・法人はもちろん、これまで物理的セキュリティを「他人事」と見なしてきた暗号資産業界全体にとっても、無視できない警告と言える。

要点

2026年上期の暗号資産ホルダーへの物理的強要攻撃による被害額は1.24億ドル。2025年通年の損失を倍化させかねない過去最速ペース。

CertiKのデータでは、これまで目立っていた新興国偏重から変化し、北米・欧州での事例が件数ベースで急増。

オンチェーン防御に偏重してきた業界の「盲点」として、自己保管とオペレーショナル・セキュリティ教育のギャップが顕在化。

被害者像は超富裕層や取引所経営層だけでなく、中堅ホルダーやSNS上で存在感のある個人へとシフト。

ハードウェアウォレットの普及は、適切なフィジカルセキュリティ対策を伴わなければ、一般投資家のリスクをむしろ高めている可能性。

CertiKの「レンチ攻撃」レポートが測っているもの

「レンチ攻撃（wrench attack）」という言葉は、もともと暗号資産界隈のブラックジョークから生まれた。

暗号・セキュリティ研究者の**ブルース・シュナイアー（Bruce Schneier）**は、暗号資産登場よりはるか前から、「十分な物理的な圧力をかけられれば、暗号技術は無意味になる」という原理を提示していた。この発想がクリプト界隈でミーム化し、やがて正式な脅威カテゴリーとして扱われるようになった。

CertiKのインテリジェンス部門「Intel3D」は、強要により暗号資産の移転が行われた物理的事件をトラッキングしている。自宅への押し入り強盗、路上での強盗、誘拐、銃器を突きつけたうえでの端末ロック解除の強要などが含まれる。調査手法としては、公表済みの事件をベースに、ウォレットアドレスが判明しているケースではブロックチェーン・フォレンジクスで裏取りを行い、さらに38の法域の法執行機関による開示情報を組み合わせている。

1.24億ドルという数字は、2026年1月1日から6月30日までの期間に限定される。詐欺、フィッシング、オンチェーンのエクスプロイトなどは含まれない。物理的な暴力、もしくはそれが現実味を持って示された脅迫によって、被害者が資産移転を強いられたケースだけをカウントしている。

1.24億ドルは予測値ではなく、確認済みもしくはフォレンジクスで裏付けが取れた事件のみを積み上げた実数であり、潜在的な未報告事例を考慮すると、実際の被害総額はこれを大きく上回る可能性が高い。

ここは見落とせないポイントだ。多くの法域で、暗号資産関連の強盗は、伝統的な強盗事件と比べて警察への届出率が低い傾向にある。保有資産の規制面での扱いを懸念する被害者もいれば、どうせ回収は難しいとの諦めから通報を躊躇するケースも多い。CertiKのアナリストは、ダークウェブ上のやり取りや保険金請求のパターンなどから、把握できている事例は実際の60〜70％程度に過ぎないと推計する。

2026年上期の真の被害額は、1.8億〜2億ドル規模に達している可能性がある。

2026年上期の水準を、過去の推移と比較する

1.24億ドルという数字を位置づけるには、これまでのトレンドを俯瞰する必要がある。物理的な暗号資産攻撃は、2020年以前はほぼ無視できる規模だった。研究者**ジェイムソン・ロップ（Jameson Lopp）**が運営するパーソナルセキュリティ事案データベースによると、2015〜2018年の年間ドキュメント事例は20件未満で、被害額も多くて数十万ドル規模にとどまっていた。

転機となったのは2021年だ。ビットコイン（BTC）は初めて6万ドルを突破し、メディアは「クリプト長者」をめぐる記事を大量に配信。初めて「狙うに値する」規模で潜在的な被害者プールが形成された。ロップ氏のデータベースでは、2020年の15件から、2021年には32件の物理的攻撃が記録され、2023年には60件超、2025年には世界全体で100件を上回った。

CertiKはロップ氏個人のトラッキングよりも広範なデータソースを用いるため、金額水準は一致しない。それでも、両者のデータはいずれも加速的な増加カーブを描いている点で整合的だ。

2026年上期のペースが年末まで続いた場合、物理的攻撃による年間被害額は約2億4,800万ドルに達し、CertiKが前回年次レポートでまとめた2025年通年推計1億3,200万ドルのほぼ2倍となる。

物理的な暗号資産犯罪の「地理」が変わりつつある

これまで物理的な暗号資産攻撃は、高い暗号資産普及率と脆弱な治安、そして富裕層を狙う犯罪インフラを抱えるラテンアメリカや東南アジアに集中している、というのが一般的なイメージだった。しかし、この地理的なフレーミングは、もはや現実を反映していない。

CertiKの2026年上期データによると、米国と西欧諸国が事件件数ベースで全体の38％を占め、2023年時点の約22％から大きくシェアを伸ばしている。

2026年には、英国、オランダ、ドイツなどでも注目度の高い事件が相次いだ。

単独の国としては、米国が世界全体の19％を占め、最大のシェアとなっている。

こうした地理的なシフトには、構造的な背景がある。規制の明確化や、米国での現物ビットコインETF承認、欧州におけるMiCAに準拠した枠組みの整備などにより、暗号資産による富が表舞台に出てきた。機関投資家は保有状況を公表し、創業者や経営者は自身のポートフォリオについてカンファレンスで語る。複数の法域で課される納税報告義務により、書類上のトレースも生まれた。高度な犯罪ネットワークが、こうした情報にアクセスし、標的選定に利用しているとされる事例も出てきている。

西欧と北米は、事件件数ベースで物理的暗号資産攻撃の約4割を占めるまでに拡大し、2023年の22％から急伸。CertiKのデータセットで最も成長ペースの速い地域となっている。

もっとも、東南アジアは依然として高水準を維持している。タイ、ベトナム、インドネシアでは、2026年第1四半期に誘拐事件が国際ニュースとなった事例が相次いだ。ラテンアメリカでは、ブラジル、アルゼンチン、コロンビアを中心に、モバイルウォレットを狙った路上強盗が依然として多い。しかし、全体としての地理的な分布が収斂しつつあることで、「先進国のホルダーは無関係」という見方は、もはや成り立たなくなっている。

2026年、攻撃者が本当に狙っているのは誰か

「レンチ攻撃」の被害者と聞いて、多くの人が思い浮かべるのは、著名なクリプトビリオネアだろう。しかし、そのイメージは現実から乖離しつつある。CertiKの2026年上期インシデント分析は、10万〜500万ドル規模の暗号資産を保有している（あるいはそれが推定される）中堅ホルダーへのシフトが鮮明になっていることを示している。

これは、犯罪経済学的には合理的な動きだ。超富裕層や取引所創業者、大手ファンドマネジャー、顔の知られたインフルエンサーは、多くの場合、専任の身辺警護を雇い、オンチェーン活動も偽名で行うなど、物理・デジタルの両面で防御を固めている。

彼らを狙うことは、攻撃側にとってもリスクが大きい。それに対し、中堅ホルダーは相当額の資産を自己保管しつつ、生活自体は一般的な住宅環境で、物理的なセキュリティ対策もほとんど講じていないケースが目立つ。リスクとリターンのバランスは、この層を狙う方に大きく傾いている。

ソーシャルメディアでの露出は、多くの事件で明確な前兆となっている。

CertiKの分析によると、2026年上期のうち、事前の偵察行動をある程度復元できた事件の約43％で、被害者は暗号資産の保有を匂わせる投稿を行っていた。ハードウェアウォレットを見せびらかす写真、ポートフォリオのパフォーマンスを語る投稿、暗号資産関連イベントへの参加報告などが典型だ。Telegramグループ、Twitter/Xの投稿、Discordチャンネル、さらには暗号資産関連の職務経歴を記したLinkedInプロフィールまでもが、事後のフォレンジクスで「足跡」として浮かび上がっている。

2026年上期のうち、事前の情報収集プロセスを再構成できた事件の43％で、被害者はSNS投稿、イベント参加、業務プロフィールなどを通じて、暗号資産保有のシグナルを自ら公表していた。

2026年上期に大きく増えた二次的ターゲットとしては、暗号資産取引所の従業員やカスタマーサポート担当者が挙げられる。犯罪ネットワークは、これらのスタッフに対し、ソーシャルエンジニアリングを駆使して顧客データの一部を引き出すケースが報告されている。オンチェーンでウォレットを直接抜き取るには情報が不十分なものの、「大口保有者」のリストアップには足りる程度の情報を得て、別ルートで本人を特定・照準を合わせる、といった手口だ。米英の公開記録によると、2026年上期（H1 2026）だけで少なくとも6件、内部情報とみられるデータの相関を通じて標的が特定された可能性が高い事案が確認されており、CertiKのインシデントノートでも指摘されている。

セルフカストディの逆説：ハードウェアウォレットが一部ユーザーのリスクを高める理由

ハードウェアウォレット業界はこの10年、「暗号資産は取引所から離して保管すべきだ」というメッセージを一貫して訴えてきた。カウンターパーティーリスクを下げるという主張は、取引所ハッキングや破綻、ラグプルで顧客資産が失われてきた歴史を踏まえれば、根本的には正しい。セルフカストディは、こうしたリスクを実際に低減している。

しかし、CertiKがまとめた2026年上期データは、業界が十分に向き合ってこなかった「不都合な帰結」を浮き彫りにしている。

ハードウェアウォレットの保有は、公知情報から推測可能な「シグナル」になっている。

Ledger、Trezor、Foundation Devicesなど主要メーカーの購入情報は、過去のデータ漏えいで流出しており、なかでも有名なのが2020年のLedger顧客データベース流出だ。この事件では約27万件の顧客について、氏名、電話番号、物理的な住所が公表されてしまった。

こうしたデータはその後も犯罪マーケットで売買され続けており、ブロックチェーン分析と照合されることで、ウォレット残高の推定に利用されている。

加えて、データ漏えいがなくとも、ハードウェアウォレットを所有している、あるいは使い方を理解していることを、オンラインフォーラムの投稿、レビュー記事、SNS上の発言などで示すだけで、「セルフカストディに本気で取り組んでいる＝奪う価値のある資産を持っている可能性が高い」というシグナルになり得る。CertiKのアナリストは、2026年上期の物理的攻撃事案のうち、統計的に有意な割合で、攻撃前の情報収集段階にハードウェアウォレット関連のシグナルが現れていたと指摘している。

2020年のLedgerデータ流出では、物理住所を含む27万件の顧客情報が外部に出たが、CertiKの2026年上期インシデント分析によれば、このデータはその後も犯罪ネットワークで流通し続けており、物理的攻撃の「前兆データ」として統計的に無視できない頻度で登場している。

これは、ハードウェアウォレットがトータルで有害だという意味ではない。問題は、ハードウェアウォレットの普及が、オペレーショナルセキュリティ（OpSec）を伴わない場合に、特定の物理リスクプロファイルを新たに生んでいる点にある。業界標準の教育コンテンツは、シードフレーズのバックアップやパスフレーズ保護、マルチシグ設定など、ほぼ例外なくオンチェーン上の脅威に焦点を当てている。物理的な脅威モデルについては、ほとんどがユーザー個人の自己流に任されているのが現状だ。

攻撃手口：1億2,400万ドルはどのように奪われたのか

CertiKは2026年上期のインシデントを、5つの主要な攻撃手法に分類している。件数ベースで最も多いのは自宅侵入型で、全体の約34％を占める。次に多いのが路上強盗で、スマートフォンのひったくり後に暗証番号や署名を強要するタイプが代表的で、約28％を構成する。件数では14％にとどまるものの、1件あたりの被害額が突出して大きいのが身代金目的の誘拐だ。

被害者を尾行し、車両停止を強要して資産移転を迫る「ターゲット車両停止型」は全体の約11％。残りはその他または状況不明のケースに分類されている。

とりわけ注目すべきは、身代金目的の誘拐カテゴリである。

2026年上期の複数事案では、攻撃グループが被害者のウォレット残高を事前に把握していたとみられる行動が確認されており、内部関係者からのインテリジェンス、もしくは高度なオンチェーン分析と個人特定の組み合わせが行われていた可能性が示唆される。少なくとも2件の記録では、被害者が複数日にわたって拘束され、その間に犯行グループがウォレット構造を系統的に洗い出し、資金移転が確認されるたびに追加のアドレスや鍵の開示を迫っていた。

一方で、マルチシグ（マルチシグネチャ）ウォレットは、一定の抑止効果を発揮したケースもある。取引承認に追加署名者が必要であり、その署名者が犯人側に特定されていない、もしくは連絡不能であることを被害者が信用できる形で示せた場合、犯行が途中で断念されたり、損失額が限定的になった事案が複数確認されている。物理的な強要に対し、現実世界で一定の効果が実証されている数少ない技術的カウンターメジャーの一つと言える。

身代金目的の誘拐は、2026年上期の物理的攻撃全体の14％に過ぎないが、総被害額では不釣り合いに大きな比重を占める。複数事案で、被害者は複数日にわたり拘束され、その間に犯行グループがウォレット構造を系統的に「空にしていった」。

タイムロック機構や「デュレスウォレット」（実際の全資産の一部だけを入れた「捨てウォレット」をあらかじめ用意し、強要時にはそちらを差し出す設計）は、セキュリティ研究の文献には登場するものの、現場での実装・検証はごく限られている。Glacier Protocolなど高セキュリティのセルフカストディフレームワークは、デュレスウォレット構成を推奨しているが、一般投資家層での採用率は極めて低い。利用可能な技術的対策と、その実際の導入状況とのギャップは、サイバーセキュリティ分野で繰り返し観察されてきたパターンと同じだ。最も攻撃に脆弱なユーザーほど、予防策を実装していない傾向が強い。

法執行当局の対応：検挙率データが示すもの

暗号資産を巡る物理的攻撃は、法執行当局にとって独特の難しさを伴う。オンチェーンの送金は理論上、追跡・回収が可能であり、ChainalysisやEllipticなどのブロックチェーンフォレンジック企業は、取引所ハッキング等での資金トレースを支援してきた実績がある。しかし、物理的強要が絡むケースは構造が異なる。犯人側は通常、資金を即座にミキサーやクロスチェーンブリッジ、プライバシープロトコルなどを通じて移動させ、フォレンジックの痕跡を断ち切るよう設計している。

この結果、暗号資産関連の物理的攻撃における事件解決率は、伝統的な強盗犯罪と比べて明確に低い。CertiKの2026年上期レポートは、物理的な暗号資産攻撃のグローバルな検挙率を約23％と試算しているが、これはFBIの犯罪統計が示す「通常の武装強盗」の検挙率（おおむね47％）のほぼ半分に相当する。資産の回収となると、状況はさらに厳しい。2026年上期に記録された事案のうち、全額または一部のファンドが回収されたケースは、全体の8％未満にとどまった。

FBIは2026年に暗号資産犯罪専門ユニットの体制を拡充し、欧州でも複数の国家警察が専門チームを設置するなど、対応力の強化は進んでいる。しかし、犯行グループが国境をまたいで活動し、資金も分散型インフラを経由してグローバルに動く構造上、管轄権の空白や協力枠組みの遅れが捜査を大きく遅らせているのが実情だ。

暗号資産を標的とした物理的攻撃の検挙率は世界平均で約23％と、通常の武装強盗のほぼ半分にとどまる。2026年上期の記録事案で、資産が一部でも回収できたケースは8％未満だった。

規制面では、一定の動きもある。**金融活動作業部会（FATF）**は2025年末、仮想資産犯罪に関するガイダンスを改訂し、物理的強要を専門的な訓練と越境協力プロトコルを要する独立カテゴリとして位置付けた。シンガポールやUAEなど一部法域は、暗号資産関連の物理犯罪対応を自国のサイバー犯罪フレームワークに組み込んでいる。しかし、実務レベルでの実装はガイダンスに追いついておらず、現時点で多くの被害者にとっては、「犯人逮捕は不透明で、資産回収の可能性は低い」という厳しい現実が続いている。

保険市場が示す「物理リスク」の定量化

こうした物理的攻撃データの蓄積は、スペシャリティ保険市場に新たなアクチュアリー課題を投げかけている。ロンドンの**ロイズ（Lloyd's of London）**や、複数のバミューダ拠点のスペシャリティキャリアは、早くも2023年から物理的な暗号資産リスクを対象とする保険商品の開発を水面下で進めてきた。2026年上期データは、この市場の成熟を加速させる可能性が高い。

現行の暗号資産カストディ保険は、Evertas、Aon、ロイズ系の専門シンジケートなどが提供しているが、その中心はオンチェーンでの盗難、取引所破綻、鍵の紛失といったリスクだ。物理的強要による損失も一部では補償対象となってきたものの、保険料は高く、補償範囲も限定的だった。インシデントデータの蓄積が進めば、アクチュアリーはリスクをより精緻に価格付けできるようになり、一般論としては補償範囲の拡大につながる。ただし、その保険料水準が中規模の個人投資家にも手の届くものになるかどうかは、別問題だ。

セルフカストディに関する保険ギャップは大きい。Coinbase Custody、BitGo、Anchorage Digitalなどの機関投資家向けカストディソリューションには、SOC 2コンプライアンスや武装警備、地理的に分散した鍵保管など、物理的セキュリティ要件を明示したカバレッジフレームワークが組み込まれている。これらは単なる書面上の条件ではなく、実際に物理リスクを大きく抑制する仕組みだ。対照的に、個人によるセルフカストディには外部の監督もカバレッジ要件も存在せず、保有者は物理リスクに対し事実上「無保険」の状態に置かれている。

機関投資家向けのスペシャリティ暗号資産カストディ保険には、補償条件として具体的な物理セキュリティ要件が組み込まれている。一方で、リテールのセルフカストディには、同様のセーフティネットがほとんど存在しない。小口・個人向けのセルフカストディ市場には、実質的にこうした仕組みが存在せず、結果として「中間層」の保有者が、相対的に最も大きなリスクにさらされながら、最も薄いカバーしか受けられていない。

2026年上期（H1 2026）のデータは、規制当局がセルフカストディに関する開示義務をどう設計するかにも影響を与えかねない。もし「物理的な襲撃リスク」が定量化され、かつ特定し得るホルダープロファイル――アクティブなSNSユーザー、ハードウェアウォレット購入者、カンファレンス登壇者など――に集中しているのであれば、他の高リスク金融行為に適用されているものと類似した開示枠組みを導入すべきだ、という規制上の論拠が生じる。この点はいまだ仮説段階にとどまるものの、少なくとも2年前には存在しなかったレベルのエビデンスが、いまや政策議論を支える材料として整いつつある。

Also Read: アマゾン、3万人削減の陰で「Nova」人員をAI加速のために切り捨てる

物理的襲撃リスクを本当に下げるオペレーショナルセキュリティとは

セキュリティ研究コミュニティは、実際のインシデント分析に基づき、物理リスクを低減するための対策をある程度体系化してきた。CertiKの2026年上期レポートは、被害者群では一般ホルダー推定母集団に比べて明らかに出現率が低い実務を特定している。いわば「逆相関」によって、防御効果が示唆されるパターンだ。

最も相関が高い保護因子は、「自分の暗号資産保有状況を公にしない」という、ごく単純な行動だ。一見当たり前に聞こえるが、現実には常に破られている。カンファレンスのパネル、ポッドキャスト、SNS上のポートフォリオ公開、職務経歴の自己紹介欄などには、しばしば具体的な保有情報が含まれる。「2017年からの長期ビットコインホルダーです」といった一文を公開の場で述べるだけでも、攻撃者にとってはターゲット選定を始めるのに十分なシグナルとなる。2017年からBTCを保有し続けている層は、統計的にみて多額の含み益を抱えている可能性が高いからだ。

また、「地理的な一貫性をつくらない」こと――日々の行動パターンや帰宅ルートを固定化しない、自宅周辺エリアをSNSプロフィールなどで特定できる形で晒さない――も、インシデント分析では第二の保護因子として浮かび上がる。強化ドアや警報装置、監視カメラといった物理的セキュリティ機器は、分析上はより限られたケースでしか登場しないが、少なくとも住居侵入型の犯行に対する一定の抑止力は持つとみられる。ただし、強い犯意を持つ攻撃者を完全には止められない。

CertiKの2026年上期データセットのインシデント分析からは、「暗号資産の保有状況を公表しないこと」が、推測可能な標的化リスクを、どのようなウォレット設定よりも大きく低減する、単独で最も強い保護因子であることが示唆されている。

一方、技術的な対策として現実世界で最も高い防御効果が確認されているのが、「地理的に分散した複数署名（マルチシグ）」だ。

被害者が「単一の場所・単一の人物では送金に必要な鍵数を満たせない」と、攻撃者に対して信頼性を持って示せる状況では、犯行の経済合理性そのものが崩れる。この仕組みも万能ではなく、実際に共同署名者の所在を特定し、連鎖的に脅そうとする試みも報告されている。それでも、十分な摩擦を持ち込むことで、多くの「機会型」攻撃を思いとどまらせる効果が生まれている。

セキュリティ研究組織Rekt HQや、Lopp氏を含む独立系研究者は、物理的脅威モデルを踏まえた実践的なオペレーショナルセキュリティ（OpSec）のガイドをすでに公開している。

こうしたリソースは存在しているものの、セルフカストディを選択しているホルダー人口と比べれば、利用度は極めて低い。ウォレット事業者、ハードウェアデバイスメーカー、自社ユーザーにセルフカストディを推奨する取引所などは総じて、ユーザーオンボーディングの中で物理的セキュリティ教育を前面に押し出すことを避けてきた。

Also Read: 予測市場が再び活況、「非常に強いエルニーニョ」確率81％で山火事相場が加速

業界が直視すべき「自らの責任」

2026年上期の「物理的暗号資産攻撃」で失われた1億2400万ドルという数字に対し、業界のリアクションは驚くほど静かだ。主要なハードウェアウォレットメーカー、取引所、業界団体のいずれも、CertiKレポートを踏まえた声明やユーザー向けの安全指針の更新を公表していない。オンチェーンのハッキングに対する反応、詳細な事後分析（ポストモーテム）、緊急コミュニティコール、即時のプロトコル修正といった対応と比べると、その落差は際立つ。

この「反応格差」の背景には、構造的なインセンティブの歪みがある。オンチェーンでのセキュリティ事故は、プロトコルの評判を傷つけ、規制当局による調査を招きかねない。一方、ユーザー個人への物理的襲撃は同情を呼ぶものの、ユーザーが利用していたプラットフォームやプロダクト自体のレピュテーションリスクには直接つながりにくい。プロトコルの脆弱性による資金流出は、「どのプロトコルで起きたか」が見出しになるが、自宅でナイフを突きつけられて暗号資産を奪われたケースは、「地元警察の事件記録」にとどまる。

「Not your keys, not your coins（鍵がなければあなたのコインではない）」というセルフカストディ擁護のスローガンは、文化的な規範として大成功を収めた。その結果、ハードウェアウォレットの販売は数億ドル規模に膨らみ、数十億ドル相当の資産が取引所からセルフカストディへと移動した。しかし、その啓蒙活動には「物理的なオペレーショナルセキュリティ」に関する同等レベルのキャンペーンが伴ってこなかった。いま振り返れば、このメッセージは「不完全」だったのであり、その不完全さは、失われた資産額と、いくつかのケースでは実際の身体的被害という、きわめて具体的な形で数値化されつつある。

暗号資産業界のセルフカストディ推進は、資産を取引所から移させるという点では極めて成功したが、物理的オペレーショナルセキュリティに関するガイダンスを伴わなかった。この欠落を、CertiKの「2026年上期1億2400万ドル」という数字が、初めて定量的に示している。

とはいえ、変化の兆しがないわけではない。Ledgerは2026年初頭、自社サイト上に物理的脅威シナリオを含む「セキュリティTips」セクションを新設した。Casaを含む複数の暗号資産ネイティブなセキュリティ企業は、マルチシグ製品のオンボーディングプロセスの中に、物理的脅威モデルのヒアリングと設計を組み込み始めている。コミュニティ主導の教育プロジェクトであるBitcoin Security Universityも、2026年第2四半期に物理セキュリティ専用カリキュラムを追加した。いずれも前進ではあるが、記録されている問題の規模と成長ペースを踏まえれば、なお「小さな一歩」にとどまるのも事実だ。

結語

2026年上期に記録された「物理的な暗号資産攻撃」による1億2400万ドルの損失は、イレギュラーな突発事象ではない。これは、暗号技術面のセキュリティだけが急速に進歩し、物理的セキュリティ文化はほとんど変わらなかった、その「必然の帰結」と見るべき数字である。

業界は、高度な攻撃者に対するオンチェーンインフラの防御を着実に強化してきた。その成功は、窃盗犯の視線を、「どんな暗号技術でも直接は守れない唯一の攻撃ベクトル」、すなわち「鍵を持つ人間」そのものへと向けさせた。

CertiKのデータは、一つの分岐点を示している。

物理的襲撃による損失は、もはや金額的にも、地理的な広がりの面でも、被害者の属性の面でも、「セルフカストディ・エコシステム全体にとってのシステミックリスク」と言えるレベルに達している。2026年時点の主たる被害者プロファイルは、ビリオネア創業者でも、機関投資家カストディアンでもない。「中規模のリテールホルダー」である。まさに業界が最も声高に「セルフカストディ」を勧めてきた層だ。その推奨には、本来セットで伴うべき教育的責任があるが、その多くは、いまだ果たされていない。