暗号資産のハッキング、詐欺、エクスプロイトにより、2026年上半期に総額1.3十億ドル超の総損失が発生し、記録された合計額は複数の大規模インシデントが大部分を占めました。 TL;DR
CertiKのH1セキュリティレポートによると、暗号資産のセキュリティ損失は2026年上半期に344件のインシデントで13.16億ドルに到達しました。約1.153億ドルが凍結または返還され、調整後の損失は約12億ドルに減少しています。 2025年からの見かけ上の改善には文脈が必要です。前年の上半期合計には、例外的な14.5億ドルのBybit侵害が含まれていました。そこからその単独の事象を除くと、CertiKは2026年において同等の損失が約28%増加したと見積もっています。 これらの損失の分布は、総額と同じくらい重要です。平均のインシデント費用は約382万ドルでしたが、中央値の損失はわずか13万8,703ドルでした。平均は中央値の27倍超であり、少数の極端な失敗が全体の結果を押し上げたことを示しています。 インシデント3件だけで、Kelp DAO、Drift Protocol、そして標的型で2.84億ドルのフィッシング窃取が行われたケースが、報告された上半期損失の約65%を占めました。 損失ランキングは「数値ひとつ」では足りない 暗号資産のインシデント報告では、しばしば異なる種類の損害を測る数値同士が比較されます。
総損失
回収前に、プロトコルまたは被害者から取り除かれた価値。
実現された抽出（realized extraction）
攻撃者が、譲渡可能な経済的価値へと実際に転換できた資産。
ネット損失
凍結、返還、返済、回収の後にまだ不足している金額。
ユーザー負債
プラットフォームが負う請求権であり、攻撃者が当初得た収益より大きくも小さくもなり得ます。
名目上のエクスポージャー
攻撃者が全額を現金化できなかったとしても、不正に発行された、またはリスクにさらされた資産の理論上の価値。
以下のランキングは主に報告された総損失を用いています。回収、争われた評価、攻撃者の収益とプラットフォーム負債の差は、別途記載します。 裏付けのないトークン作成を含むインシデントでは、実現された抽出は、不正な供給の額面価値よりも意味が大きいです。そうでない場合、たとえば流動性のないトークンを1億ドル作ったのに、実際の担保としては100万ドルしか抽出していない攻撃者が、「1億ドルを盗んだ」と誤ってランク付けされ得ます。 2026年に報告された最大の暗号資産損失
最近のセキュリティインシデントに関する声明
1月31日（APAC）の昼過ぎの時刻に、約$40M がStep Financeのトレジャリーから流出しました。これは、当社の執行チームのデバイスが侵害されたことによるものです。
侵害を検知した直後から、私たちは作業を開始しました…
— Step☀️ (@StepFinance_) 2026年2月2日
より早いオンチェーン推計では、トレジャリーワレットから当初特定されていた約261,854 SOLが対象になっていたため、損失は約2,700万ドルに近いとされていました。Stepの後の見積りでは、影響を受けた資産の範囲がより広く含まれていました。 プロジェクトの総額4,000万ドルという見積りを用い、回収額は別途報告することで、見積りの違いが「なぜ起きたか」を説明せずにどちらか一方の数値を選ぶより、より完全な状況がわかります。 攻撃による金融的影響は、攻撃者に送金された金額を超えて及ぶこともあります。緊急の資金調達、法務費用、ユーザー補償、中断された運用、失われた収益などによって、最終的な事業への影響は、当初のオンチェーン引き出し額より大きくなる可能性があります。 5. Humanity Protocol – 3,600万ドル Humanity Protocolは6月9日に、侵害されたデバイスによってウォレットデータと、特権プロジェクト口座に紐づく秘密鍵が露出したことで攻撃を受けました。 同プロジェクトの公式説明によれば、攻撃者はデバイスから秘密鍵をコピーし、それを使ってオンチェーン攻撃を実行しました。 また、Humanityは、Ethereum Hトークンのコントラクトは別のクリーンなマルチシグで保護されており、その標準的なメインネットのブリッジは侵害されていないとも述べました。
https://t.co/VjouykTSPw
— Humanity (@Humanityprot) 2026年6月12日
公表されている推計は、約3,100万ドルから3,600万ドルの範囲でばらついています。盗まれたHトークンの価値が、市場価格やインシデントのさまざまな段階で異なって評価されているためです。 より重要な構造的問題は、複数の特権クレデンシャルが1つの侵害されたエンドポイントに集中していたことでした。 マルチシグの仕組みは、そのキーが人、デバイス、場所、管理環境に分散している場合にのみ、意味のある保護を提供します。同じコンピュータに保存されている、またはそこから復元できる複数のクレデンシャルは、オンチェーン上の署名しきい値を満たし得ながら、それでもなお実務上の単一障害点として機能してしまいます。 6. Resolv Protocol – 約2,680万ドル Resolv Protocolは3月22日に、攻撃者がクラウドインフラを侵害し、AWS Key Management Serviceを通じて管理される鍵へのアクセスを得たことで悪用されました。 Resolvは、ユーザーが担保を預け入れた後にUSRの作成を承可するためのオフチェーンサービスを使用していました。 CertiKのインシデント分析によると、攻撃者は比較的小さな正当なUSDCの入金を行い、その後、侵害されたサービスロールを用いて2つの取引にまたがって約8,000万USRを承認しました。 コントラクトは、承認が承認済みのサービスから来たことを検証しました。最低出力は課していましたが、ユーザーが預け入れた担保に紐づく最大金額は強制していませんでした。 特権サービスが侵害されると、攻撃者は暗号学的に有効だが、経済的に裏付けのない署名を作り出せるようになりました。 これは、クラウドの鍵管理サービスが暗号資産インフラに本質的に不向きだという意味ではありません。より大きな設計上の問題は、1つのサービスロールに付与されていた、無制限の経済的権限の大きさでした。 保護された鍵であっても、署名を受け取るコントラクトが担保比率、ミント上限、取引制限、引き出し速度を独立して強制しない場合、致命的な障害点になり得ます。 7. Truebit – 2,600万ドル Truebitは1月8日に、2021年にデプロイされたボンディングカーブ・コントラクトにおける整数オーバーフローの脆弱性を通じて悪用されました。 そのコントラクトは、Solidity 0.5.3でコンパイルされており、自動オーバーフロー保護がSolidity 0.8.0で導入される前のものでした。 攻撃者は非常に大きな値を投入し、その結果として算術計算がラップして0に近い数値になりました。これにより、ほぼETHを使わずに大量のTRUをミントでき、その後、コントラクトが保有する実際のETHと交換（償還）できるようになりました。 Chainalysisは主な損失を2,620万ドルと見積もりました。CertiKは、2人目の攻撃者によって約22.4万ドルが抽出された分も含め、合計額を約2,660万ドルに近いとしました。 脆弱な実装はEtherscan上で公に検証されていませんでした。それでも攻撃者が調べることは妨げられませんでした。 コントラクトのバイトコードは逆コンパイルでき、古いコンパイラの挙動を特定でき、疑わしい脆弱性はシミュレーションやブロックチェーン分岐（フォーク）を通じてテストできます。 Truebitは、2026年に見られたより広いパターンに対する最大の例外です。その損失は、侵害された運用権限ではなく公開された実行ロジックから生じました。 また、休眠状態のコントラクトであっても資金や権限を保持している限り、監査、監視、バグバウンティの範囲内に置く必要がある理由も示しています。 Echo Protocolが7,670万ドルの窃取としてランクインしない理由 Echo Protocolは、攻撃者が侵害された管理者キーを使って、名目価値を持つ裏付けのない1,000のeBTCをミントしたため、7,670万ドルの損失があったと説明されることがあります。 しかし攻撃者は、実際の資産として7,670万ドルを抽出したわけではありません。 Merkle Scienceによれば、詐欺的なeBTCのうち45個がCurvanceのレンディングプロトコルに預け入れられました。 攻撃者は、約11.29 WBTC（約86.7万ドル相当）を借り入れ、その後、残りの955個の裏付けのないeBTCは焼却されました。 したがって正確な数字は次のとおりです：
名目上の全額を盗まれたものとして分類すると、実現された損害を約90倍に誇張することになります。 Echoはそれでも重要な担保リスク問題を露呈しています。Curvanceのオラクルは、eBTCに付与された市場価値を正しく認識できましたが、それらの特定のトークンが裏付けなしで作成されたことまでは判断できませんでした。 価格の健全性は、発行の健全性と同じではありません。 外部発行された担保を受け入れるレンディングプロトコルには、異常な供給作成、ミント権限の変更、急な担保預け入れ、裏付けの検証、発行者レベルの管理リスクに対応するための制御が必要です。正しい価格フィードだけでは、それらの問いに答えられません。 共通の失敗はコントロールプレーンにあった 最大級の2026年インシデントは、単一のコード脆弱性を共有していませんでした。彼らが共有していたのは、「そのコードに何を許すか」を決めるシステム側の弱さでした。 従来のインフラという用語で言うと、実行レイヤーは通常の処理を行い、一方でコントロールプレーンは権限、設定、信頼できるデータソース、例外的なアクションを決定します。
この区別は、最大級のインシデントにかなり密接に対応しています：
Kelp： 検証者が、偽造されたソースチェーン上の活動のバージョンを受け入れた。
Drift： 有効な署名が管理権限を移した。
Step： 侵害された執行デバイスがトレジャリー権限を露出させた。
Humanity： 侵害されたエンドポイントが特権キーを露出させた。
Resolv： 侵害されたサービスロールが、有効だが経済的に裏付けのない承認を作り出した。
Echo： 1つの管理者キーで、上限のないミント権限が付与できた。
Truebit： 例外は、レガシーなコントラクトコード上の算術上の欠陥だった。
CertiKは、年上半期に204件のコード脆弱性インシデントを記録し、それによる損失は約1.516億ドルでした。ウォレット侵害は、わずか33件のインシデントで4.445億ドルを引き起こしました。 これは、コード脆弱性インシデント1件あたり平均約74.3万ドル、ウォレット侵害インシデント1件あたり平均1,350万ドルになります。 平均すると、ウォレット侵害は約18倍高くついていました。 この比較は、スマートコントラクト監査の重要性を下げるものではありません。署名者、RPC依存関係、管理用インターフェース、クラウドロール、緊急制御を除外してコントラクトを監査するだけでは、金融システムの相当部分が未検証のままになることを示しています。 実際の失敗に対処する5つのコントロール 認証後に経済的限度を強制する 有効な署名は、そのアクションを承認した相手を示すべきです。無制限の経済的権限を付与してはいけません。 ミント、ブリッジ、担保の承認、引き出しは、最大取引サイズ、ローリング制限、担保比率、タイムディレイ、資産別の上限、そして自動停止によってなお制限できます。 これらの制御はクレデンシャル侵害を防げないかもしれませんが、侵害された1つの鍵がすぐに無制限の負債を生み出すことは止められます。 鍵の数ではなく独立性を測る 3-of-5のマルチシグは、3つの鍵が1台のラップトップから回収できる、または同じ企業アカウントで管理できるなら、意味のある分散とは言えません。 NISTの鍵管理ガイダンスは、認可、バックアップ、説明責任、職務分掌の分離、侵害時の対応、鍵素材の保護など、ライフサイクル上の統制を重視しています。 プロトコルは、独立しているはずの署名者が、同じデバイス、パスワードマネージャー、クラウドテナント、復旧手順、物理的な場所、または報告系統を共有していないかを特定すべきです。 取引だけでなく関係性を監視する Kelpのエクスプロイトで見られた各個の取引はすべて有効に見えました。検知可能な失敗は、2つのチェーン間の関係が欠けていた点です。つまり、rsETHはソースチェーンでバーンされることなく、イーサリアム側でリリースされていました。 ブリッジ監視は、関連するあらゆるネットワークで、ロック、バーン、ミント、リリースを継続的に照合すべきです。 同様の不変条件チェックによって、預け入れられた担保とミントされたトークン、準備（レザーブ）と流通供給、承認された引き出し上限と実際の流出を比較できます。 署名前に管理上の意図をシミュレートする ハードウェアウォレットは秘密鍵を守りますが、正当な利用者が悪意ある取引を承認しているかどうかは判断できません。 管理上の取引は、実行前に別の環境でデコードし、シミュレーションすべきです。 署名者は、取引ハッシュや不透明なウォレットの表示だけでなく、結果として生じる権限の変更、新たに承認される担保資産、価格パラメータ、引き出し上限、コントラクトのアップグレード、所有権の移転を把握する必要があります。 レガシーなコントラクトをセキュリティ境界内に留める コントラクトは、数年にわたりインシデントなく稼働しているからといって、より安全になるわけではありません。 資産を保有する、償還を処理する、プロトコルの権限を制御する、または現在の製品に接続されたままであるいかなるデプロイも、検証済みのソースコード、コンパイラ前提の文書化、能動的な監視、監査およびバグバウンティプログラムへの組み込みを備えるべきです。 AI支援の逆コンパイルにより、攻撃者が古い算術やアクセス制御、バリデーションの欠陥を特定するのに必要な時間は短くなるかもしれません。そうしたツールが進歩するほど、セキュリティ・バイ・オブスクリュリティ（秘匿性による安全）は効果が薄れます。 AIは既存の詐欺モデルを増幅している AIはKelp、Drift、Resolv、Echoの背後にある中核的な脆弱性を生み出したわけではありません。そのより直接的な影響は、標的リサーチ、なりすまし、ローカライズ、継続的なコミュニケーションのコストを下げることです。 Chainalysisの2026 Crypto Crime Report（2025年の活動を分析）では、AIサービス提供者との識別可能な関連を持つ詐欺オペレーションは、そのような関連のない詐欺より約4.5倍収益性が高かったことが分かりました。 この証拠は、2026年のあらゆる高度な攻撃がAIを使っていたことの証明として提示されるべきではありません。AI支援の運用がすでに高いリターンを生み出し、いくつかの確立した手法をより容易にスケールさせ得ることを示しています：
合成アイデンティティ
ディープフェイクの動画や音声によるなりすまし。
高度な偵察
ソーシャルおよび職業的ネットワークにまたがる標的調査。
多言語ソーシャルエンジニアリング
複数言語での長期にわたる会話。
適応型フィッシング
クローン化されたインターフェースと、個別化されたフィッシングページ。
自動化された脆弱性リサーチ
コントラクトの自動分析と、逆コンパイルされたバイトコードの分析。
想定される開発は、ソーシャルと技術の組み合わせになる可能性が高いです。ソーシャルエンジニアリングが資格情報や認可を入手し、既存のプロトコル権限がそのアクセスを金融的損失へ変換します。 規制変更は「エクスプロイトの仕組み」を問うのではなく「説明責任」を問う 欧州連合のMiCA移行期間は2026年7月1日に終了しました。対象となる暗号資産サービス提供者は、一般に、規制の適用範囲および各国の監督当局の判断に従い、EUで継続して事業を行うために認可が必要になります。 MiCAは、ガバナンス、カストディ、運用上の統制、説明責任を強化できます。しかし、ブリッジが独立した検証者を使っているか、特権キーが適切に分離されているか、認可された署名者が悪意ある取引を理解しているかを判断することはできません。 米国のGENIUS Actは2025年7月18日に法律として成立し、支払いステーブルコインのための連邦枠組みを定めています。 これは、すべてのブリッジ、取引所、ウォレット、DeFiプロトコル向けの一般的なサイバーセキュリティ規制ではありません。 規制は、誰が責任を負うべきか、そしてどのようなセーフガードを設けるべきかを決めます。セキュリティエンジニアリングは、それらのセーフガードが応答する前に、偽造メッセージ、侵害されたキー、悪意ある承認が実行できてしまうかどうかを判断します。 2026年残りで注視すべきこと 最終的な2026年のセキュリティ像は、累積された見出しレベルの損失だけで判断すべきではありません。
セキュリティ・インテリジェンス：重要な指標
損失の集中
いくつかの極端なインシデントが、年間総額を引き続き支配し続けているか。
攻撃対象領域
ウォレット、管理、クラウド、インフラの侵害が、コードの悪用よりも依然としてより高コストになっているか。
回復を調整した損害
凍結、返済、交渉された返還の後に、どれだけが残って不足しているか。
帰属の質
国家が後援するグループへの予備的な関連が、完了した調査によって裏付けられているか。
統制の導入
次の大規模攻撃の前に、プロトコルが独立検証、取引シミュレーション、鍵分離、そして強制可能な経済的限度を導入しているか。
このランキングは7月17日に作成されたスナップショットであり、年の最終記録ではありません。2026年の残りはほぼ46%あり、損失の歴史的数値は、資産回収、トークン価格の修正、新たに特定されたウォレット、そして名目上のエクスポージャーと実現された窃取の区別がより明確になることで、引き続き変化し得ます。 証拠はより狭い結論を支持しています。価値の高いインシデントほど、スマートコントラクトそのもののロジックだけでなく、その周辺にあるコントロールシステム（署名者、デバイス、RPCインフラ、特権サービス、検証ネットワーク）を狙う傾向が強まっています。
この記事は教育目的のみです。資産価格の変動、回収、帰属の修正、総エクスポージャー、実現された抽出、ネット損失の違いにより、インシデントの評価額は変わり得ます。
117.9K 人気度
908.38K 人気度
72.83K 人気度
3.35M 人気度
1.65M 人気度
2026年上半期の最大の暗号資産ハックと詐欺事例
CertiKのH1セキュリティレポートによると、暗号資産のセキュリティ損失は2026年上半期に344件のインシデントで13.16億ドルに到達しました。約1.153億ドルが凍結または返還され、調整後の損失は約12億ドルに減少しています。 2025年からの見かけ上の改善には文脈が必要です。前年の上半期合計には、例外的な14.5億ドルのBybit侵害が含まれていました。そこからその単独の事象を除くと、CertiKは2026年において同等の損失が約28%増加したと見積もっています。 これらの損失の分布は、総額と同じくらい重要です。平均のインシデント費用は約382万ドルでしたが、中央値の損失はわずか13万8,703ドルでした。平均は中央値の27倍超であり、少数の極端な失敗が全体の結果を押し上げたことを示しています。 インシデント3件だけで、Kelp DAO、Drift Protocol、そして標的型で2.84億ドルのフィッシング窃取が行われたケースが、報告された上半期損失の約65%を占めました。 損失ランキングは「数値ひとつ」では足りない 暗号資産のインシデント報告では、しばしば異なる種類の損害を測る数値同士が比較されます。
総損失
回収前に、プロトコルまたは被害者から取り除かれた価値。
実現された抽出（realized extraction）
攻撃者が、譲渡可能な経済的価値へと実際に転換できた資産。
ネット損失
凍結、返還、返済、回収の後にまだ不足している金額。
ユーザー負債
プラットフォームが負う請求権であり、攻撃者が当初得た収益より大きくも小さくもなり得ます。
名目上のエクスポージャー
攻撃者が全額を現金化できなかったとしても、不正に発行された、またはリスクにさらされた資産の理論上の価値。
以下のランキングは主に報告された総損失を用いています。回収、争われた評価、攻撃者の収益とプラットフォーム負債の差は、別途記載します。 裏付けのないトークン作成を含むインシデントでは、実現された抽出は、不正な供給の額面価値よりも意味が大きいです。そうでない場合、たとえば流動性のないトークンを1億ドル作ったのに、実際の担保としては100万ドルしか抽出していない攻撃者が、「1億ドルを盗んだ」と誤ってランク付けされ得ます。 2026年に報告された最大の暗号資産損失
最近のセキュリティインシデントに関する声明
1月31日（APAC）の昼過ぎの時刻に、約$40M がStep Financeのトレジャリーから流出しました。これは、当社の執行チームのデバイスが侵害されたことによるものです。
侵害を検知した直後から、私たちは作業を開始しました…
— Step☀️ (@StepFinance_) 2026年2月2日
より早いオンチェーン推計では、トレジャリーワレットから当初特定されていた約261,854 SOLが対象になっていたため、損失は約2,700万ドルに近いとされていました。Stepの後の見積りでは、影響を受けた資産の範囲がより広く含まれていました。 プロジェクトの総額4,000万ドルという見積りを用い、回収額は別途報告することで、見積りの違いが「なぜ起きたか」を説明せずにどちらか一方の数値を選ぶより、より完全な状況がわかります。 攻撃による金融的影響は、攻撃者に送金された金額を超えて及ぶこともあります。緊急の資金調達、法務費用、ユーザー補償、中断された運用、失われた収益などによって、最終的な事業への影響は、当初のオンチェーン引き出し額より大きくなる可能性があります。 5. Humanity Protocol – 3,600万ドル Humanity Protocolは6月9日に、侵害されたデバイスによってウォレットデータと、特権プロジェクト口座に紐づく秘密鍵が露出したことで攻撃を受けました。 同プロジェクトの公式説明によれば、攻撃者はデバイスから秘密鍵をコピーし、それを使ってオンチェーン攻撃を実行しました。 また、Humanityは、Ethereum Hトークンのコントラクトは別のクリーンなマルチシグで保護されており、その標準的なメインネットのブリッジは侵害されていないとも述べました。
https://t.co/VjouykTSPw
— Humanity (@Humanityprot) 2026年6月12日
公表されている推計は、約3,100万ドルから3,600万ドルの範囲でばらついています。盗まれたHトークンの価値が、市場価格やインシデントのさまざまな段階で異なって評価されているためです。 より重要な構造的問題は、複数の特権クレデンシャルが1つの侵害されたエンドポイントに集中していたことでした。 マルチシグの仕組みは、そのキーが人、デバイス、場所、管理環境に分散している場合にのみ、意味のある保護を提供します。同じコンピュータに保存されている、またはそこから復元できる複数のクレデンシャルは、オンチェーン上の署名しきい値を満たし得ながら、それでもなお実務上の単一障害点として機能してしまいます。 6. Resolv Protocol – 約2,680万ドル Resolv Protocolは3月22日に、攻撃者がクラウドインフラを侵害し、AWS Key Management Serviceを通じて管理される鍵へのアクセスを得たことで悪用されました。 Resolvは、ユーザーが担保を預け入れた後にUSRの作成を承可するためのオフチェーンサービスを使用していました。 CertiKのインシデント分析によると、攻撃者は比較的小さな正当なUSDCの入金を行い、その後、侵害されたサービスロールを用いて2つの取引にまたがって約8,000万USRを承認しました。 コントラクトは、承認が承認済みのサービスから来たことを検証しました。最低出力は課していましたが、ユーザーが預け入れた担保に紐づく最大金額は強制していませんでした。 特権サービスが侵害されると、攻撃者は暗号学的に有効だが、経済的に裏付けのない署名を作り出せるようになりました。 これは、クラウドの鍵管理サービスが暗号資産インフラに本質的に不向きだという意味ではありません。より大きな設計上の問題は、1つのサービスロールに付与されていた、無制限の経済的権限の大きさでした。 保護された鍵であっても、署名を受け取るコントラクトが担保比率、ミント上限、取引制限、引き出し速度を独立して強制しない場合、致命的な障害点になり得ます。 7. Truebit – 2,600万ドル Truebitは1月8日に、2021年にデプロイされたボンディングカーブ・コントラクトにおける整数オーバーフローの脆弱性を通じて悪用されました。 そのコントラクトは、Solidity 0.5.3でコンパイルされており、自動オーバーフロー保護がSolidity 0.8.0で導入される前のものでした。 攻撃者は非常に大きな値を投入し、その結果として算術計算がラップして0に近い数値になりました。これにより、ほぼETHを使わずに大量のTRUをミントでき、その後、コントラクトが保有する実際のETHと交換（償還）できるようになりました。 Chainalysisは主な損失を2,620万ドルと見積もりました。CertiKは、2人目の攻撃者によって約22.4万ドルが抽出された分も含め、合計額を約2,660万ドルに近いとしました。 脆弱な実装はEtherscan上で公に検証されていませんでした。それでも攻撃者が調べることは妨げられませんでした。 コントラクトのバイトコードは逆コンパイルでき、古いコンパイラの挙動を特定でき、疑わしい脆弱性はシミュレーションやブロックチェーン分岐（フォーク）を通じてテストできます。 Truebitは、2026年に見られたより広いパターンに対する最大の例外です。その損失は、侵害された運用権限ではなく公開された実行ロジックから生じました。 また、休眠状態のコントラクトであっても資金や権限を保持している限り、監査、監視、バグバウンティの範囲内に置く必要がある理由も示しています。 Echo Protocolが7,670万ドルの窃取としてランクインしない理由 Echo Protocolは、攻撃者が侵害された管理者キーを使って、名目価値を持つ裏付けのない1,000のeBTCをミントしたため、7,670万ドルの損失があったと説明されることがあります。 しかし攻撃者は、実際の資産として7,670万ドルを抽出したわけではありません。 Merkle Scienceによれば、詐欺的なeBTCのうち45個がCurvanceのレンディングプロトコルに預け入れられました。 攻撃者は、約11.29 WBTC（約86.7万ドル相当）を借り入れ、その後、残りの955個の裏付けのないeBTCは焼却されました。 したがって正確な数字は次のとおりです：
名目上の全額を盗まれたものとして分類すると、実現された損害を約90倍に誇張することになります。 Echoはそれでも重要な担保リスク問題を露呈しています。Curvanceのオラクルは、eBTCに付与された市場価値を正しく認識できましたが、それらの特定のトークンが裏付けなしで作成されたことまでは判断できませんでした。 価格の健全性は、発行の健全性と同じではありません。 外部発行された担保を受け入れるレンディングプロトコルには、異常な供給作成、ミント権限の変更、急な担保預け入れ、裏付けの検証、発行者レベルの管理リスクに対応するための制御が必要です。正しい価格フィードだけでは、それらの問いに答えられません。 共通の失敗はコントロールプレーンにあった 最大級の2026年インシデントは、単一のコード脆弱性を共有していませんでした。彼らが共有していたのは、「そのコードに何を許すか」を決めるシステム側の弱さでした。 従来のインフラという用語で言うと、実行レイヤーは通常の処理を行い、一方でコントロールプレーンは権限、設定、信頼できるデータソース、例外的なアクションを決定します。
この区別は、最大級のインシデントにかなり密接に対応しています：
Kelp： 検証者が、偽造されたソースチェーン上の活動のバージョンを受け入れた。
Drift： 有効な署名が管理権限を移した。
Step： 侵害された執行デバイスがトレジャリー権限を露出させた。
Humanity： 侵害されたエンドポイントが特権キーを露出させた。
Resolv： 侵害されたサービスロールが、有効だが経済的に裏付けのない承認を作り出した。
Echo： 1つの管理者キーで、上限のないミント権限が付与できた。
Truebit： 例外は、レガシーなコントラクトコード上の算術上の欠陥だった。
CertiKは、年上半期に204件のコード脆弱性インシデントを記録し、それによる損失は約1.516億ドルでした。ウォレット侵害は、わずか33件のインシデントで4.445億ドルを引き起こしました。 これは、コード脆弱性インシデント1件あたり平均約74.3万ドル、ウォレット侵害インシデント1件あたり平均1,350万ドルになります。 平均すると、ウォレット侵害は約18倍高くついていました。 この比較は、スマートコントラクト監査の重要性を下げるものではありません。署名者、RPC依存関係、管理用インターフェース、クラウドロール、緊急制御を除外してコントラクトを監査するだけでは、金融システムの相当部分が未検証のままになることを示しています。 実際の失敗に対処する5つのコントロール 認証後に経済的限度を強制する 有効な署名は、そのアクションを承認した相手を示すべきです。無制限の経済的権限を付与してはいけません。 ミント、ブリッジ、担保の承認、引き出しは、最大取引サイズ、ローリング制限、担保比率、タイムディレイ、資産別の上限、そして自動停止によってなお制限できます。 これらの制御はクレデンシャル侵害を防げないかもしれませんが、侵害された1つの鍵がすぐに無制限の負債を生み出すことは止められます。 鍵の数ではなく独立性を測る 3-of-5のマルチシグは、3つの鍵が1台のラップトップから回収できる、または同じ企業アカウントで管理できるなら、意味のある分散とは言えません。 NISTの鍵管理ガイダンスは、認可、バックアップ、説明責任、職務分掌の分離、侵害時の対応、鍵素材の保護など、ライフサイクル上の統制を重視しています。 プロトコルは、独立しているはずの署名者が、同じデバイス、パスワードマネージャー、クラウドテナント、復旧手順、物理的な場所、または報告系統を共有していないかを特定すべきです。 取引だけでなく関係性を監視する Kelpのエクスプロイトで見られた各個の取引はすべて有効に見えました。検知可能な失敗は、2つのチェーン間の関係が欠けていた点です。つまり、rsETHはソースチェーンでバーンされることなく、イーサリアム側でリリースされていました。 ブリッジ監視は、関連するあらゆるネットワークで、ロック、バーン、ミント、リリースを継続的に照合すべきです。 同様の不変条件チェックによって、預け入れられた担保とミントされたトークン、準備（レザーブ）と流通供給、承認された引き出し上限と実際の流出を比較できます。 署名前に管理上の意図をシミュレートする ハードウェアウォレットは秘密鍵を守りますが、正当な利用者が悪意ある取引を承認しているかどうかは判断できません。 管理上の取引は、実行前に別の環境でデコードし、シミュレーションすべきです。 署名者は、取引ハッシュや不透明なウォレットの表示だけでなく、結果として生じる権限の変更、新たに承認される担保資産、価格パラメータ、引き出し上限、コントラクトのアップグレード、所有権の移転を把握する必要があります。 レガシーなコントラクトをセキュリティ境界内に留める コントラクトは、数年にわたりインシデントなく稼働しているからといって、より安全になるわけではありません。 資産を保有する、償還を処理する、プロトコルの権限を制御する、または現在の製品に接続されたままであるいかなるデプロイも、検証済みのソースコード、コンパイラ前提の文書化、能動的な監視、監査およびバグバウンティプログラムへの組み込みを備えるべきです。 AI支援の逆コンパイルにより、攻撃者が古い算術やアクセス制御、バリデーションの欠陥を特定するのに必要な時間は短くなるかもしれません。そうしたツールが進歩するほど、セキュリティ・バイ・オブスクリュリティ（秘匿性による安全）は効果が薄れます。 AIは既存の詐欺モデルを増幅している AIはKelp、Drift、Resolv、Echoの背後にある中核的な脆弱性を生み出したわけではありません。そのより直接的な影響は、標的リサーチ、なりすまし、ローカライズ、継続的なコミュニケーションのコストを下げることです。 Chainalysisの2026 Crypto Crime Report（2025年の活動を分析）では、AIサービス提供者との識別可能な関連を持つ詐欺オペレーションは、そのような関連のない詐欺より約4.5倍収益性が高かったことが分かりました。 この証拠は、2026年のあらゆる高度な攻撃がAIを使っていたことの証明として提示されるべきではありません。AI支援の運用がすでに高いリターンを生み出し、いくつかの確立した手法をより容易にスケールさせ得ることを示しています：
合成アイデンティティ
ディープフェイクの動画や音声によるなりすまし。
高度な偵察
ソーシャルおよび職業的ネットワークにまたがる標的調査。
多言語ソーシャルエンジニアリング
複数言語での長期にわたる会話。
適応型フィッシング
クローン化されたインターフェースと、個別化されたフィッシングページ。
自動化された脆弱性リサーチ
コントラクトの自動分析と、逆コンパイルされたバイトコードの分析。
想定される開発は、ソーシャルと技術の組み合わせになる可能性が高いです。ソーシャルエンジニアリングが資格情報や認可を入手し、既存のプロトコル権限がそのアクセスを金融的損失へ変換します。 規制変更は「エクスプロイトの仕組み」を問うのではなく「説明責任」を問う 欧州連合のMiCA移行期間は2026年7月1日に終了しました。対象となる暗号資産サービス提供者は、一般に、規制の適用範囲および各国の監督当局の判断に従い、EUで継続して事業を行うために認可が必要になります。 MiCAは、ガバナンス、カストディ、運用上の統制、説明責任を強化できます。しかし、ブリッジが独立した検証者を使っているか、特権キーが適切に分離されているか、認可された署名者が悪意ある取引を理解しているかを判断することはできません。 米国のGENIUS Actは2025年7月18日に法律として成立し、支払いステーブルコインのための連邦枠組みを定めています。 これは、すべてのブリッジ、取引所、ウォレット、DeFiプロトコル向けの一般的なサイバーセキュリティ規制ではありません。 規制は、誰が責任を負うべきか、そしてどのようなセーフガードを設けるべきかを決めます。セキュリティエンジニアリングは、それらのセーフガードが応答する前に、偽造メッセージ、侵害されたキー、悪意ある承認が実行できてしまうかどうかを判断します。 2026年残りで注視すべきこと 最終的な2026年のセキュリティ像は、累積された見出しレベルの損失だけで判断すべきではありません。
セキュリティ・インテリジェンス：重要な指標
損失の集中
いくつかの極端なインシデントが、年間総額を引き続き支配し続けているか。
攻撃対象領域
ウォレット、管理、クラウド、インフラの侵害が、コードの悪用よりも依然としてより高コストになっているか。
回復を調整した損害
凍結、返済、交渉された返還の後に、どれだけが残って不足しているか。
帰属の質
国家が後援するグループへの予備的な関連が、完了した調査によって裏付けられているか。
統制の導入
次の大規模攻撃の前に、プロトコルが独立検証、取引シミュレーション、鍵分離、そして強制可能な経済的限度を導入しているか。
このランキングは7月17日に作成されたスナップショットであり、年の最終記録ではありません。2026年の残りはほぼ46%あり、損失の歴史的数値は、資産回収、トークン価格の修正、新たに特定されたウォレット、そして名目上のエクスポージャーと実現された窃取の区別がより明確になることで、引き続き変化し得ます。 証拠はより狭い結論を支持しています。価値の高いインシデントほど、スマートコントラクトそのもののロジックだけでなく、その周辺にあるコントロールシステム（署名者、デバイス、RPCインフラ、特権サービス、検証ネットワーク）を狙う傾向が強まっています。
この記事は教育目的のみです。資産価格の変動、回収、帰属の修正、総エクスポージャー、実現された抽出、ネット損失の違いにより、インシデントの評価額は変わり得ます。