47件の暗号化セキュリティインシデントの再検討：全員が同一の人為的脆弱性で失敗
TechFlow厳選深潮セレクト
47件の暗号化セキュリティインシデントの再検討：全員が同一の人為的脆弱性で失敗
セキュリティを一回限りのチェックボックス形式のタスクではなく、継続的かつ定量可能なコストとして捉えることで、初めて生き残ることができる。
Web3業界の深掘り報道に専念し潮流を洞察執筆：Vladimir S.
翻訳・編集：Saoirse、Foresight News
2026年の最初の3か月間、私は暗号資産業界の大多数が避けようとする行動を一つ行いました。つまり、今年発生したすべての重大なセキュリティインシデントに関するポストモーテム報告書、オンチェーン証拠分析レポート、さらには漏洩したDiscordチャットログを、すべて読み通したのです。合計47件の事案、損失総額は38億ドル以上に上りました。しかし、これらの事件のうち、いわゆる「天才レベルのゼロデイ（0-day：発見直後で、まだ公表されておらず、公式パッチも提供されていない脆弱性）スマートコントラクト攻撃」によるものは、一件もありませんでした。
資金はすべて「正門」から持ち出されました——なぜなら、そのドアを人間が自ら開けたからです。
誰もがコードを責めていますが、私は人間を責めます。以下は、47件の事案から導き出された確固たる証拠です……
私は失敗のタイプごとに分類し、その傾向を明確に可視化しました。余計な言葉は一切なく、ただ厳しい真実だけがここにあります：
残り32件の概要
- ソーシャルエンジニアリング攻撃（新規13件）：合計約6.2億ドル。主に「ホエール」（大口投資家）を標的としたフィッシング、ディープフェイク音声による詐欺、「Telegram上の公式開発サポート」を装った詐欺など。一件あたりの平均損失額は3500万～4000万ドル。
- 開発者およびサプライチェーンのセキュリティ問題（新規8件）：合計約4.8億ドル。npm／PyPIパッケージへのバックドア挿入、悪意あるTestFlightアプリ、開発者のPCの乗っ取りなどが含まれる。
- 秘密鍵および認証情報の漏洩（新規5件）：合計約3.1億ドル。助記詞の漏洩、クラウド上への秘密鍵保存、弱い二要素認証（2FA）のバイパスなど。
- DAOガバナンスのハイジャックおよびフラッシュローン攻撃（新規6件）：合計約1.5億ドル。トークン重み付け投票の脆弱性や、投票率が極端に低い状況での提案乗っ取りなどを悪用。
特権を持つ人物を標的としたソーシャルエンジニアリング攻撃（19件、損失額12億ドル超）
このカテゴリが圧倒的に最多です。攻撃者はアルゴリズムをハッキングする必要すらありません。彼らが突破するのは「人間」なのです。
- Drift Protocol（2026年4月1日、2.85億ドル）：北朝鮮のハッカー組織UNC4736が、6か月かけてマルチシグ署名者および管理者の信頼を獲得しました。偽造LinkedInプロフィール、虚偽の採用活動、段階的な権限浸透を経て、担保資産を偽造し、5人中2人のマルチシグ承認を得た後、わずか数分で金庫を空にしました。コードはハッキングされていません。ハッキングされたのは「人間」です。
- Coinbaseのカスタマーサポート外部委託先による収賄（2025年5月、影響額推定4億ドル）：海外の内部スタッフがユーザー口座データを無断で漏洩。
- ビットコイン783枚保有の「ホエール」に対するフィッシング（2025年8月、9100万ドル）：被害者はハードウェアウォレットの「公式カスタマーサポート」と会話していると思い込み、暗号化されたチャット上で助記詞を教えた。
開発者およびサプライチェーンへの侵入（11件、損失額17億ドル超）
あなたが「安全」と信じているウォレット基盤の実際の安全性は、開発者が深夜2時に使用しているノートPC一台のセキュリティ水準にしか依存していません。
- Bybitのコールドウォレット盗難（2025年2月、15億ドル）：ラザルスグループがSafe{Wallet}の開発者デバイスを乗っ取り、それを用いて巨額の送金を承認しました。たった一台のデバイスと一人の人物が、システム全体を崩壊させました。
- Phemexのホットウォレット（2025年1月、8500万ドル）：標的型フィッシングの後、内部システムへの不正アクセスが発生。
秘密鍵および認証情報の漏洩（9件、損失額6.5億ドル超）
2026年になっても、このような事象は依然として起こっています。本当にそうです。
- DMM Bitcoin（2024年に発生、2025–2026年の調査で判明、3.05億ドル）：古典的な秘密鍵漏洩事件であり、現在でも2025–2026年に発生した取引所盗難の典型的な事例としてアナリストに引用されています。
DAOガバナンスのハイジャックおよびフラッシュローン（8件、損失額2.2億ドル超）
低投票率＋トークン重み付け投票＝流動性数百万ドルで簡単に資金を奪える構造です。
- GreenField DAO（2025年、3100万ドル）：単一ブロックにおけるフラッシュローンを用いたガバナンス攻撃。
- UPCX Protocol（2025年、7000万ドル）：典型的な提案乗っ取り攻撃。
その他の案件は金額規模は小さいものの、手口は全く同じです：安価な投票権購入→金庫の空出し→完全な消滅。
すべての被害者は、致命的な共通の過ちを犯しています。「人的承認を信頼できるセキュリティ境界とみなす」ことです。
どの事件においても、最終的な判断は必ず「一人（あるいは少数の人物）」の意思決定によって下されます。技術的な強制チェックもなければ、強制的なトランザクションシミュレーションも、リアルタイムの本人確認も、時間遅延措置も存在しません。ただ「信じてください。私は署名者です」という一言だけです。
これが唯一の単一障害点です。コードではありません。プロセスの中の人間なのです。
7層運用セキュリティ防護体制
私は本体制を単なる理論的提唱に留めておらず、すでに2つの8桁規模のファンドプールのセキュリティ防護に実際に適用しています。以下の完全な体制は、上述の47件のセキュリティ事件のいずれにも十分に対応可能です：
1．エアギャップ隔離デバイス＋MPC（マルチパーティ・コンピュテーション）マルチシグ
ホットデバイス上には絶対に助記詞を保管しません。ハードウェアウォレットまたはMPCウォレットを使用し、誰もが完全な秘密鍵を単独で閲覧できないようにします。
エアギャップ隔離署名とは、最終署名がインターネット未接続のハードウェア上で行われることを意味します。MPCはさらに一歩進み、秘密鍵が一度も完全な形で同一場所に現れることはありません。鍵の断片（シェア）は複数のデバイス／複数の人物に分散され、一定数以上のシェアが集まらない限り有効な署名は生成できません。日常的なホット操作にはMPCを、大口資金移転にはエアギャップ隔離コールドストレージを用います。また、MPCエンジン内では送金速度制限やホワイトリストなどのルールを設定し、仮に一部のシェアが漏洩しても、システムが自動的に阻止します。
2．地理的に分散したマルチシグ＋高しきい値設定
最低でも3/5方式を採用し、署名者は異なる大陸・異なるデバイス・異なるタイムゾーンに分散配置します。「全員が互いに知っている」ような脆弱な2/3設定は一切認めません。
攻撃者がソーシャルエンジニアリングで2名の署名者を掌握したとしても、第3の署名者は異なるタイムゾーンにおり、就寝中またはオフラインである可能性があります。四半期ごとに署名者をローテーションし、ハードウェアキーの使用を義務付け、絶対に2/3方式を採用しません。
3．強制的なトランザクションシミュレーションおよびプレビュー
すべての署名は、サンドボックス内で完全に再現・予演し、オンチェーン上で何が起こるかを明確に表示しなければなりません。ブラインド署名は禁止です。
シミュレーション結果が期待通りと完全に一致しない場合、トランザクションは即座に中止されます。
4．リアルタイム本人確認＋チャレンジ・レスポンス検証
大口取引には、リアルタイムのビデオ通話が必須です。事前に共有された暗号語や、オンチェーンで生成されるランダム数値の即時提示など、多重認証手段を併用します。これによりディープフェイクは完全に無力化されます。
事前予約・録画による監査痕跡の確保、Signalなどのツール活用が推奨されます。
5．タイムロック＋実行遅延
50万ドルを超える取引は、48～72時間のタイムロックキューに投入され、公開可能かつ緊急停止が可能です。
チームに異常事象への対応時間を与え、多くのフラッシュローンガバナンス攻撃および焦りによる不正承認を阻止できます。
6．自動異常監視＋緊急シャットダウンスイッチ
署名者の異常行動、IPアドレス変更、取引パターンを、オンチェーンおよびオフチェーンで同時監視・アラート発報。ワンクリックで金庫全体を凍結可能です。
金庫の停止または緊急復旧を起動するための取引をあらかじめ設定し、マルチシグのみで即時実行可能とします。
7．四半期ごとのレッドチーム演習＋フェイルセーフスイッチ
ホワイトハットハッカーを雇い、チームに対してソーシャルエンジニアリングテストを実施します。主要署名者が30日間連絡不能となった場合、資産は自動的に復旧用マルチシグアドレスへ転送されます。
レッドチーム演習は、第三者監査では見落とされがちな人為的脆弱性を明らかにし、フェイルセーフスイッチは「創業者が鍵を持って逃亡」などの事態にも対応可能です。
Driftプロトコルのハッキング事件：なぜ軍事レベルの運用セキュリティ体制が不可欠なのか
2026年4月、北朝鮮の国家レベルハッカー組織UNC4736が、6か月間にわたり偽の身元、偽の採用活動を通じてDriftのマルチシグ管理者の信頼を徐々に獲得し、最終的に2.85億ドルを盗みました。彼らはコードを一度もハッキングしていません。ハッキングされたのは、今なおすべてのプロジェクトが依拠している「人間による信頼層」です。
この事件が示す現実は明確です：国家レベルの勢力があなたの資金を標的にした時点で、民間レベルのセキュリティではまったく不十分です。プロジェクトは、真に軍事レベルの運用セキュリティを採用する必要があります。「常に疑い、常に検証」を基本とするゼロトラスト理念に基づき、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）というセキュリティの三原則を実践的に具現化しなければなりません。
すべての重要な操作には航空機並みのチェックリストが必要です：強制的なシミュレーション、リアルタイムの本人確認、独立した再確認。そして「既に侵害されている」と想定した思考回路で臨む必要があります。この基準に達していないプロジェクトは、次に国家レベルのハッカーが正門から堂々と入り込んでくるのを待っているだけです。
プロジェクト運営者が専任の内部セキュリティ責任者を置くべき理由
2026年まで生き残ったプロジェクトは、単に監査に費用をかけるだけでなく、フルタイムの専任内部セキュリティ責任者を雇用しています。その唯一の職務は、内部運用セキュリティおよび緊急対応です。
これは副業の開発者でもなければ、チームが兼務で管理する役割でもありません。この人物は、信頼できる監査機関、オンチェーン追跡チーム、ホワイトハット緊急対応チームの全情報を把握しており、インシデント発生時に即座に誰に連絡すべきかを熟知している必要があります。
伝統的な業界におけるセキュリティ責任者は、元軍人・元特殊部隊出身者が多く、それは緊急時の「筋肉記憶」を備えているからです。暗号資産業界も同様です——オンチェーン世界に精通し、深夜3時にマルチシグの凍結を調整し、同時にセキュリティ機関へ通報できる人物が必要です。
こうした核心的な責任者が不在であれば、いかに完璧な7層体制を構築しても、現実のストレス下で瞬時に崩壊します。
Resolv Labs事件：検知だけでは到底不十分
2026年4月初頭に公開されたResolv Labsのポストモーテムは、47件中の11件に該当する「サプライチェーンおよびインフラの失守」の典型例です。
攻撃者は、外部委託スタッフが残したGitHub権限を悪用してシステムに侵入し、クラウド環境への横展開を実行、署名ポリシーを改ざん、8000万枚の未承認トークンを発行、約2500万ドル相当のETHを盗みました。
リアルタイム監視システムは異常取引を既に検知していましたが、チームが対応を開始するまでに1時間以上を要しました。
だからこそ、専任のセキュリティ責任者が不可欠なのです：彼／彼女は緊急対応・証拠収集チームへの電話をワンタッチでかけられ、緊急対応プロセスはすでに「筋肉記憶」レベルまで訓練済みです。
すべてのプロジェクトがバグ賞金制度・継続的監査・監査コンペティションを実施すべき理由
賢いチームはセキュリティ投資を「保険」と捉えます：平時は恩恵が見えず、インシデント発生時に初めて命を救うものです。
「すでに一度監査済み」という考え方が、47件のプロジェクトが数十億ドルを失った根本原因です。
以下を徹底しなければなりません：
- 公開かつ十分な報酬額のバグ賞金プログラムを維持（TVLに応じて最低5万～25万ドル）；
- すべてのアップデート・リリース前には必ず監査を実施；
- 四半期ごとに少なくとも1回の監査コンペティションを開催。
重大なハッキング事件は、プロジェクトそのものを一瞬で破滅させかねません。セキュリティを「一度きりのチェックボックス作業」ではなく、継続的かつ定量可能なコストとして扱うことで、初めて生き残れるのです。
個人向けセキュリティ勧告
いかに堅牢な7層プロトコルセキュリティ体制を整えていても、あなたのPCやスマートフォンが弱点となれば、すべてが無意味になります。
- Windows／Linux端末：Malwarebytes＋専門のEDRエンドポイント検知・防止ソフトを導入；
- iPhone：「ロックモード」を有効化し、iVerifyをインストールしてスパイウェアおよびゼロクリック脆弱性を検出；
- Mac：S1の利用を推奨。新AppleシリコンではFileVaultを必ず有効化し、AirPlayを使用しない場合は無効化、スクリーンセーバーにパスワードを設定。
秘密鍵または署名に関わるすべての操作は、専用の「クリーン」MacBookで行うことを推奨します。iCloudへのログインは一切せず、インターネットへのアクセスも厳しく制限、四半期ごとにOSを再インストール、使用しないときはファラデーバッグに保管します。さらに企業レベルのDLP（Data Loss Prevention）および軽量SIEM（Security Information and Event Management）によるログ監視を追加します。
直接Trail of Bits社のOpSec最小限チェックリストを活用することも可能です。
個人セキュリティは最後の砦です。攻撃者がそこまで到達した時点で、もう「一時停止」は存在しません。
核心的見解
この体制は単なる机上の空論ではありません。私は既に、現在のトップクラスのハッカーによる攻撃に対するストレステストを実施し、その実効性を実証済みです。
スマートコントラクトのセキュリティ水準は年々向上していますが、人間のセキュリティ意識はそれに伴って進化していません。2026年において、あなたがプロトコル、DAO、あるいは大口個人ウォレットを運営しているにもかかわらず、「チームは信用できる」「コントラクトは監査済み」といった陳腐な言い訳に頼っているならば、あなたの警戒心は明らかに不十分です。
次の標的となるのは、あなたかもしれません。
TechFlow公式コミュニティへようこそ
Telegram購読グループ：https://t.me/TechFlowDaily
Twitter公式アカウント：https://x.com/TechFlowPost
Twitter英語アカウント：https://x.com/BlockFlow_News
@officer_secret
