2025年1月からの仮想通貨ハッキング被害総額5800億円規模に＝コインゲッコー報告

この記事のポイント

セキュリティ監査済みのプロトコルにも被害
独自の補償基金設立する取引所も

上位10件の攻撃が盗難総額の7割占める

暗号資産（仮想通貨）データ大手コインゲッコー（CoinGecko）は27日、仮想通貨市場におけるセキュリティの現状と主な脅威を分析するレポートを発表した。2025年1月〜2026年7月の19か月間で、245件のハッキング被害が発生し、被害総額は約36.3億ドル（約5,800億円）に達したと報告している。

コインゲッコーは、被害額の大きい上位10件の攻撃だけで、同期間における盗難総額の72.5%以上を占めていることは注目に値するとしている。

特に、仮想通貨取引所Bybitハッキングによる約14億ドル（約2,200億円）の流出が群を抜いていた。これに、KelpDAOの約2.9億ドル、Drift Protocolの約2.8億ドルが続いている。

インフラやサプライチェーン（マルチシグウォレットなどプラットフォームの周辺インフラ）の脆弱性は、CEX（中央集権型取引所）とDEX（分散型取引所）の双方にとって最大の被害をもたらしており、こうしたタイプの攻撃による損失額は18億ドル（約2,900億円）を超えていた。BybitやKelpDAOの事例もこれに含まれるものだ。

史上最大規模となるBybit取引所から15億ドルが流出したハッキング事件の原因が判明。北朝鮮のラザラス・グループがSafe(Wallet)開発者のマシンを侵害し、AWSインフラに悪意あるコードを挿入。Bybit自体のセキュリティシステムは無事だったことが複数の調査で確認された。

CEXの場合、障害の発生源として最も一般的なのは秘密鍵のハッキングだ。一方、dApps（分散型アプリケーション）では、スマートコントラクトの悪用が大きな被害を与えている。

また、コインゲッコーは犯罪の主体が変化していることを指摘。かつては小規模な個人による犯行が中心だったが、現在は北朝鮮のラザルスグループなど国家支援型の組織犯罪集団が主体となり、ミキサーやブリッジ、分割出金を駆使して追跡を困難にしていると述べた。

関連記事：ルミス米上院議員、クラリティー法案が北朝鮮ラザルス封じの鍵に

米ルミス上院議員は、仮想通貨市場構造法案「クラリティー法」の不正資金対策条項が、北朝鮮ハッカー集団ラザルスの活動を封じる鍵になると主張する。財務省の新制裁権限や取引凍結の免責規定などにより、金融規制の抜け穴の利用を抑制できるとの考えを示した。

セキュリティ監査の限界

コインゲッコーの調査では、セキュリティ監査によっても攻撃が防げていない現状も浮き彫りになった。2025年1月以降の245件のハッキング被害のうち、147件は侵害を受ける前に監査を受けていたプロトコルに対するものだった。監査済みのプラットフォームによる被害額は、過去19か月間に流出した総資金の88.44%を占めている。

出典：コインゲッコー

コインゲッコーは、監査だけではリスクを網羅しきれないと指摘。外部インフラや監査対象外のコード更新、ガバナンス機能の悪用といった手口は、いずれも監査の範囲外を突くものだとしている。

また、監査範囲内のスマートコントラクトの欠陥に起因する被害も発生している。割合としては約11%に過ぎなかったものの、それでも3億9,600万ドル（約630億円）の損失をもたらした。

保険や被害補償の状況

攻撃が増加しているにもかかわらず、Nexus Mutualなど9つの主要プラットフォームを含むオンチェーン保険プロトコルにおける有効な保険加入総額は今年7月までの1年間で1億3,020万ドル（約207億円）へと約20%減少した。被害増加の一方、累計支払額は3,300万ドル（約53億円）で横ばいとなっている。

コインゲッコーは、この原因はハッキングのリスクが高まったことにより保険料が値上がりしたことがあると分析した。さらに、秘密鍵の流出やヒューマンエラーなどが補償対象外なるケースが多く、リスクヘッジ手段として信頼を得られていないことも問題として指摘している。

一方で、中央集権型取引所では、ユーザーの信頼を獲得するために独自の保護基金を設立し、その内容や資産内訳を公開する動きが増えているところだ。コインゲッコーはバイナンス、Bitget、MEXCその他を例に挙げている。

例えばバイナンスはSAFU（ユーザー向け資産保護）に、取引手数料の一部を継続的に割り当てている。これは、内部システムやセキュリティプロトコルに対する攻撃があった場合のユーザー損失補填を目的としたファンドであり、2026年8月時点の残高は約11.6億ドル（約1,840億円）に上る。