7～9月の仮想通貨被害額は約1870億円、8割弱は直近の監査範囲外の経路＝レポート

7～9月期のセキュリティレポート

ブロックチェーンセキュリティ企業Hackenは2026年7～9月期のセキュリティレポートを公開。この期間にハッキングや脆弱性の悪用107件により、総額11億8,080万ドル（約1,870億円）の損失が生じたと報告した。

この損失額は、4～6月期と比較して、金額ベースで約55%の増加となった。71件はアプリケーションのスマートコントラクトに関連するものだったが被害額は2億2,820万ドルで全体の19%にとどまっている。

損失額の大半は、ブロックチェーンレベルのコード、サプライヤー、カストディ、ウォレットを標的とした攻撃によって発生していた。

さらに、損失額の77%にあたる9億680万ドル（11件に由来）は、サプライヤーや開発者向けツールの侵害、修正プログラムがまだ適用されていなかった部分、直近のセキュリティ監査の対象外となっていた要素を突かれたものである。

つまり、外部の製品や開発環境、監査済みの部分とは別の資金に影響する箇所などが狙われたケース、あるいは脆弱性の修正が公開リポジトリに載ったが、まだ実際のシステムに修正パッチが適用される前に攻撃されたケースだ。

たとえば、9月に暗号資産（仮想通貨）取引所ビットゲット（Bitget）から約3億8,750万ドルが不正流出した件でも、犯人が同取引所が利用していたサードパーティ製セキュリティ製品の脆弱性を悪用していたと報告されている。

継続的な監査体制の必要性

レポートはセキュリティ監査や認証などは、特定時点における一定の範囲を対象としたものにすぎないと指摘。監査時に対象となった範囲が現在も本番システムや関係システム、および現在の管理体制と一致しているかどうかが重要だと述べている。

このため、ある時点における監査で終わらせるのではなく、継続的な監査と定期的な検証が重要だとの見解を示した。また、規制当局もこうした方向に動き出していると続けた。

たとえば、ESMA（欧州証券市場監督局）は、今年7月に認可済みCASP（暗号資産サービスプロバイダー）を対象とした共通監督アクションを開始。1年間にわたり実施される。カストディ管理を中心に、鍵管理やサードパーティ（第三者）を含む6つの領域が審査対象だ。

従来は「ライセンス取得時に基準を満たしているか」というある時点での証明に依存するものだった。Hackenは、今回のアクションでは、認可後も長期にわたりセキュリティ義務や運用管理体制を維持しているかを監視する「継続的監督モデル」を採用していると述べる。

また、欧州監督当局（ESAs：EBA、EIOPA、ESMAの合同体）も7月、セキュリティ評価のあり方に関して重要な声明を発表。攻撃者がAI（人工知能）を活用することで攻撃スピードが加速していると指摘した。

こうした状況では従来型の年1回のテストやコンプライアンス監査だけでは変化に追随できず、安全性の担保として不十分な可能性があると述べている。