マーケット情報

　２０２６年上半期において、暗号資産投資家は約１０億ドルもの資金を奪われる被害に遭い、業界が信頼を置いていた「安全の拠り所」はほとんど効果を発揮しなかった。

　セキュリティ研究機関ａｃｋ３によると、２０２６年１月から６月までの間に１３５件の脆弱性が確認され、合計９億３９８６万ドルの被害額が報告されている。１件当たりの平均被害額は６９６万ドルで、警報が発せられるたびにこれほどの金額が流出していた。同社は完全なインシデントデータセットを公開しており、すべての数値を個別に検証することが可能だ。

　個人投資家を戦慄させる統計データがある。監査済みプロジェクトから盗まれた資金のうち９４．４％が、監査担当者が一切調査しなかったコードやインフラを経由して流出していたのだ。「安全の証」であるグリーンチェックマークは正面玄関をカバーしていたにすぎず、実際には荷下ろし用ベイから侵入されていたのである。

●監査をすり抜けた大規模暗号資産ハッキング事件

　この惨事の大半は、２件の大規模ハッキング事件によるもので、いずれも監査担当者が見逃したバグではなかった。

　４月に発生したＫｅｌｐ　ＤＡＯのｒｓＥＴＨハッキング事件では、攻撃者がプロトコルの単一メッセージ検証機能（バックアップなしの単一チェックポイント）を侵害したことで、２億９２００万ドルもの資金が流出した。

　その２週間前には、Ｓｏｌａｎａプラットフォームで活動する犯罪グループ「Ｄｒｉｆｔ」が２億８５００万ドルの被害に遭った。研究者の調査によると、このグループは北朝鮮との関連性が指摘されており、数カ月にわたってソーシャルエンジニアリングを駆使して管理者権限を取得していた。合計被害額は５億７７００万ドルに上り、上半期に盗まれた全資金の約６１％を占める。これは数学的な計算ミスではなく、鍵の脆弱性と信頼の崩壊がもたらした結果である。

　このパターンは取引記録全体にわたって繰り返されている。Ｓｔｅｐ　Ｆｉｎａｎｃｅ（４０００万ドル）、Ｈｕｍａｎｉｔｙ　Ｐｒｏｔｏｃｏｌ（３２００万ドル）、ＲｅｓｏｌｖのステーブルコインＵＳＲ（２４５０万ドル）などは、いずれも侵害された秘密鍵と署名インフラ（スマートコントラクトではなく人間の操作による）を通じて資金が流出した。クロスチェーンブリッジも主要な被害現場となっており、Ｖｅｒｕｓ（１１５０万ドル）からＳｙｓｃｏｉｎ（８００万ドル）、Ｔａｉｋｏ（１７０万ドル）に至るまで被害が報告されている。

　安全な場所などどこにもなかった。ブルーチップ（優良）銘柄でさえ例外ではなかった。ポリマーケットは２度の攻撃を受けた。５月には内部ウォレットから７０万ドルが流出し、６月にはフロントエンドのサプライチェーン攻撃により３１０万ドルが奪われ、最終的には自社ウェブサイトがウォレットからの資金流出を引き起こす仕組みに変えられてしまった。

　カウスワップ（ＣｏＷ　Ｓｗａｐ）ではドメインが乗っ取られる事件が発生した。そして今回のハーフで最も印象的な事例として、小売トレーダーを長年搾取してきたと恐れられていたＭＥＶボット「ｊａｒｅｄｆｒｏｍｓｕｂｗａｙ．ｅｔｈ」が、ハニーポットトークンによって７５０万ドルもの資金を奪われるという事態に見舞われた。

　未監査のプロジェクト群も状況は同様だった。Ｔｒｕｅｂｉｔは発行価格計算ロジックに小学生レベルの整数オーバーフローエラーを発見され、ハッカーに２６４０万ドルを支払わざるを得なかった。

●１回の監査だけでは不十分、優良プロジェクトは定期的に監査を受けるべき

　そして極めて稀なケースとして、監査担当者が実際に悪用されたコードを検証していたかどうかも疑問だ。報告内容のほとんどは既に陳腐化しており、関連する直近２０件の監査報告書のうち１７件は、ハッカーが攻撃を仕掛ける時点で少なくとも半年以上前のものだった。

　ＡＩツールの台頭に関する懸念すべき予測として、Ａｃｋ３のＣＥＯ（最高経営責任者）兼創業者ヨゼフ・ガッターマイヤー氏は次のように述べている。

“当社の調査によると、監査を受けたプロジェクトは特定の監査範囲外の攻撃経路によって６億８１００万ドルの損失を被っており、これは総損失額の９４％に相当する。スマートコントラクトのレビューは依然として重要だが、ＡＩの登場により、統合部分における脆弱性の発見が容易になり、それらを組み合わせればコンポーネント間にまたがる攻撃が可能になった。このため、セキュリティレビューは今やシステム全体を網羅するものでなければならない。

Ａｃｋ３創業者兼ＣＥＯ、ヨゼフ・ガッターマイヤー”

　この教訓は極めて簡潔かつ厳しいものだ。「監査済み」という表現は以下の３つの質問に答えられないかぎり、単なるマーケティング用語にすぎない。（１）具体的に何が監査されたのか、（２）監査はいつ行われたのか、（３）現在、鍵を管理しているのは誰なのか――２０２６年上半期において、これらの質問に対する正直な回答は、多くの場合「この部分は未監査」、「１年以上前」、「大惨事の際に侵害された１つの鍵」といったものだった。

　監査担当者はコードの一行一行を読み解くことができる。しかし、「人事部」からのリンクをクリックした際の開発者の思考までは読み取れないのだ。

（イメージ写真提供：１２３ＲＦ）

https://cryptonews.com/news/bitcoin-etf-outflow-streak-price-prediction/

This story originally appeared on cryptonews.com.