83件のハック。7億7500万ドルが消える。四半期にしては1/4。誰も話したがらない暗号資産のセキュリティ危機

2026年Q2は、暗号資産史上で最もハッキングされた四半期になりました——金額ではなく、発生頻度（回数）の面でです。平均すると、業界は毎日ほぼ1回のペースで悪用されていました。

これはバグではありません。構造的な失敗です——そしてデータは、システムがどこで壊れているのかをはっきり示しています。

2026年Q2の数字——検証済み、確認済み

2026年Q2には記録的な83件の暗号資産ハックが発生し、損失は7億5530万ドルにのぼりました——業界の歴史において、事件（インシデント）件数の面で最もハッキングされた四半期となる一方で、金融的な被害額では2020年Q4の35.6億ドルに及びません。（Blockchain News）

4月末までだけでも——2026年に入ってわずか4か月で——DeFiプロトコルは、悪用によって合計7億5000万ドル超を失っていた。これは前年比70%の増加に相当する。 (altFINS)

6月中旬時点での通年の累計ランニング合計：8億4000万ドル+、50件超の確認済みインシデントにわたる。

四半期を定義した2つの攻撃

KelpDAOのブリッジ・コントラクトは、その流動性リステーキング・トークンrsETHに対して2億9370万ドルを悪用された。これは2026年のDeFiハックとして最大級。攻撃者は裏付けのないrsETHを作り、ETHのような実物資産を借り入れに利用し、その結果、少なくともAave V3、SparkLend、Fluid、Compound、Eulerを含む複数のプロトコルにまたがる伝播（コンタグジョン）イベントを引き起こし、市場を凍結した。 (CryptoPotato)

Drift Protocolは4月1日に2億8500万ドルを失った。これは、北朝鮮のハッキング集団が6か月間かけて、SolanaベースのDEXへソーシャルエンジニアリングで入り込んだことによる。欠陥のあるコード1行によるものではなく、管理者キーを握っていた人々を、じっくり時間をかけて狙ったのだ。 (Phemex)

これら2つの攻撃は、四半期の総損失の75%超を占める。

攻撃ベクトルのシフト——これが決定的な重要データ

侵害されたアカウントが、インシデント件数ベースでDeFi攻撃の50%超を占めるようになった——初めて、従来のスマートコントラクト悪用を損失の主な発生源として上回った。2026年の最大級インシデント4件のうち3件は、欠陥のあるSolidityコード1行すら含まれていない。スマートコントラクトはプログラムどおりに動いただけだ——攻撃者が本来得てはいけないアクセスを入手して、詐欺的な指示を与えたのだ。 (altFINS)

これが2026年でもっとも重要なセキュリティ洞察です：

◆ 失敗しているのはコードではない——監査済みのスマートコントラクトは正しく機能していた

◆ 人間側が失敗している——プライベートキー、管理者権限へのアクセス、そしてソーシャルエンジニアリングが、新しい攻撃面になっている

◆ 6か月——Drift Protocol攻撃の前に行われたソーシャルエンジニアリング・キャンペーンの記録された期間

◆ 例を見ないレベルのスマートコントラクト監査があったにもかかわらず、2026年には8億4000万ドル超が盗まれた

ブリッジ問題——2022年以来の累計損失は28億ドル

クロスチェーン・ブリッジの脆弱性は3億5100万ドルを占めた——2026年Q2の総損失のほぼ半分。LayerZeroのOFTブリッジ悪用だけでKelpDAOの侵害を可能にした。 (Blockchain News)

ブリッジがなぜ失敗し続けるのか：

◆ ブリッジは巨大な準備金を持ち、複数のブロックチェーンにまたがってラップトークンを裏付けている——KelpDAOは20以上のブロックチェーンにわたる裏付け済みラップトークンを保有しており、非常に魅力的な標的になっている。 (Memeburn)

◆ ブリッジは、あるブロックチェーンに別のブロックチェーンからの情報を信頼させる必要がある——その検証レイヤーこそが、攻撃者が穴を見つける場所だ

◆ ブリッジが失敗すると、接続されたすべてのチェーンにまたがるラップトークンの裏付け準備金全体が、単一の取引でアクセス可能になる

◆ 2022年以来、ブリッジは累計で28億ドル超の損失を積み上げてきた——Web3でこれまでに盗まれた価値の約40% (Phemex)

北朝鮮の国家支援型作戦——真の規模

Chainalysisは、2026年に世界で発生した暗号関連のハックによる損失の約76%が、Lazarus Groupに関連する国家支援の関係者によるものだと推定している。北朝鮮の暗号資産の累計窃取額は、2017年以降、帰属が付いたインシデントで60億ドル超に達している。 (altFINS)

国連の推計では、不正なサイバー活動は北朝鮮の兵器開発プログラムにおける資金の約40%を賄っています。 (Memeburn)

これらは個々のハッカーがノートPCから働いている話ではありません。国の資金による軍事作戦であり、:

◆ 複数のタイムゾーンで同時に稼働する専任チーム

◆ 個々の開発者を狙う、数か月にわたるソーシャルエンジニアリング・キャンペーン

◆ 盗まれた暗号資産を実用的な資金に変換するための、洗練されたマネーロンダリング基盤

◆ どんな民間のセキュリティチームでも太刀打ちできないほど大きい資源と、比類のない忍耐

最新のインシデント——2026年6月24日

かつてYoroiとして知られていたCardanoウォレットSecondFiは、3件の外部攻撃を確認し、独自のウォレット生成ソフトウェアの欠陥を通じて374のウォレットから1,600万ADA（240万ドル）を流出させられたとした。チームは攻撃者が到達する前に、さらに1億2900万ADAを救出し、資金を第三者のカストディ業者へ送金した。しかしブロックチェーン・セキュリティ企業SlowMistの推計では、独立した監査が行われるまでに総損失が2,000万ドル超に達する可能性があるという。 (CoinDesk)

このインシデントからの重大な警告：影響を受けたユーザーには、新しいウォレットにシードフレーズを移さないよう伝えられていた。脆弱性はアドレス単位に存在し、取引に署名すると有効化される。

AIエスカレーション要因

ImmunefiのCEOであるミッチェル・アマダー氏は、人工知能の進歩がこれらの傾向をさらに悪化させている可能性があると警告し、AIを悪用したハッキングの台頭を「脆弱性の黙示録」と表現した。攻撃者は機械学習を活用し、前例のない規模で弱点を突くのだという。 (Blockchain News)

AIツールは今、次の用途に使われています：

◆ 同時に数千のプロトコル展開をスキャンし、設定ミスを探す

◆ 大規模におけるソーシャルエンジニアリングの初期段階を自動化

◆ 特定の開発者を狙った説得力のあるフィッシング通信を作成

◆ 悪用の発見から資金の引き出しまでの速度を加速

今ユーザーを実際に守っているものは何か

2026年のデータから、リスクの明確な序列が示される：

◆ 最もリスクが高い：クロスチェーンのブリッジ連携と、管理者キーの集中を伴う新規に立ち上げられたプロトコル

◆ 中リスク：中央集権型取引所——DeFiの悪用からは守られているが、資格情報の乗っ取り（クレデンシャル侵害）やインサイダー脅威にさらされる

◆ リスクが最も低い：プライベートキーの自己管理を備えたハードウェアウォレット——すべての攻撃から免疫があるわけではないが、プロトコル段階およびブリッジ悪用という一連のカテゴリ自体を完全に排除する

◆ 複数のウォレットやプラットフォームでシードフレーズを使い回さない

◆ 多人数署名（マルチシグ）体制——重要な保有がある場合には、すべての取引に対して複数の独立した承認を要求

◆ 管理者機能に対する時間遅延——ガバナンス変更に24〜48時間の遅延を実装しているプロトコルは、資金が動く前に、セキュリティチームが検知して対応する時間を確保できる

1四半期で83件のハックが起き、76%の損失が国家支援の軍事作戦にたどり着く——暗号業界の現在のセキュリティへの取り組みは、いま実際に直面している脅威環境に対して根本的に不十分なのだろうか？

#CryptoSecurity #DeFiHacks #BlockchainSecurity #CryptoNews #Web3