ビットコイン(BTC)、12億ドル・276件の暗号資産ハッキング被害の中心に

暗号資産ニュース

ブロックチェーンセキュリティ研究者らは、2026年に入って以来276件に及ぶ暗号資産エクスプロイトを記録した。累計被害額は約12億ドルに達している。インシデント追跡企業REKTがまとめたこのデータは、分散型金融(DeFi)プロトコル、カストディプラットフォーム、決済インフラに対する攻撃頻度の持続的な上昇を浮き彫りにしている。中でもハードウェアウォレット「Coldcard」の侵害は、公開からわずか数日で年間被害総額の約10%を占める規模となり、ビットコイン(BTC)のセルフカストディツールにリスクが集中している現状を如実に示した。暗号資産市場全体が機関投資家の参入拡大局面にある中、セキュリティ障害が個人・法人ホルダーに与える影響はかつてないほど深刻化している。オンチェーンデータも不正流出の規模を裏付けており、盗まれた資金は各侵害発生から数分以内にミキシングサービスやクロスチェーンブリッジを経由して移動している。現在のペースが続けば、2026年の年間被害額は過去のサイクルを上回る可能性がある。

セルフホスト型のビットコイン決済プロセッサ「BTCPay Server」は、攻撃者が重大な脆弱性を悪用してユーザー資金を窃取したことを確認し、緊急の注意喚起を発表した。この脆弱性はバージョン2.4.2で修正済みであり、認証されていないリモート攻撃者がLightning Networkノード実装として広く利用されているLNDの.macaroon認証情報ファイルを抽出できるものだった。これらの認証情報を取得するとLNDノードの完全な操作権限を掌握でき、追加認証なしに資金を直接送金することが可能になる。プロジェクトチームは公式発表で悪用が発生しユーザー資金が流出したことを認めたが、オペレーターにパッチ適用の時間を確保するため技術的詳細は公表していない。一方、セキュリティアナリストはColdcardユーザーから1,719 BTC(約1億1,100万ドル相当)が流出したことを確認しており、未確定の事案を含めると被害総額は1億3,000万ドルを超えると見込まれている。LND構成を運用しているオペレーターには直ちにアップデートするかサーバーを切断するよう指示が出されており、代替のLightning実装を使用している場合は暗号資産ウォレットインフラに対する認証情報のリスクはない。

Binance傘下の3法人——Nest Trading、DistributedTechnologies、Chaintecs Consulting Singapore——は、RedotPayの共同創業者3名に対し、ユーザー資金の不適切な混同を理由に4億7,280万ドルの損害賠償訴訟を香港で提起した。紛争の核心は、ユーザーがBinance Payの残高からRedotPayの決済カードに直接チャージできる提携関係にある。訴状によれば、RedotPayはこれらの資産を分別管理せず、約47万人のBinance Payユーザーを実質的にRedotPayカードのエコシステムに流出させた。損害算定では流出ユーザー1人あたり925ドルの生涯価値(LTV)推定値が適用されている。並行してChaintecsがシンガポールでも手続きを開始しており、同週内に審理が予定されている。年間決済処理額が約100億ドル、登録ユーザー数が600万人を超えるRedotPayは、40億ドル超の評価額での米国IPOを準備していた。同社はすべての請求に対して全面的に争う姿勢を示しており、日常業務への影響はないと述べている。この訴訟は暗号資産決済分野におけるユーザー囲い込み競争の激化を象徴しており、ステーブルコイン決済基盤が戦略的な攻防の場となりつつあることを示している。

Microsoft Threat Intelligenceは、BNB Smart Chain上のスマートコントラクトを悪用し、侵害されたWindowsマシンにマルウェアの命令を配布する新たな攻撃ベクトルを明らかにした。「EtherHiding」と名付けられたこの手法は、従来のコマンド&コントロールサーバーではなくオンチェーンのコントラクトコード内に悪意あるペイロードを埋め込む点が特徴だ。被害者は偽のCAPTCHA画面に遭遇し、Windows + Rキーを押してクリップボードに仕込まれたコマンドを貼り付け実行するよう促される——結果として攻撃者が用意したコードを無自覚に実行してしまう。このキャンペーンはClickFixおよびTerminalFixと特定されたソーシャルエンジニアリングのパターンを活用しており、毎日数千台の企業・個人デバイスを標的としている。公開ブロックチェーンのRPCゲートウェイ経由で命令をルーティングすることで、攻撃者はテイクダウンを困難にする強靭な配布レイヤーを確保している。BNB ChainエコシステムのネイティブアルトコインであるBNB自体はプロトコルレベルでは影響を受けておらず、脆弱性は外部アプリケーションがパーミッションレスなスマートコントラクトストレージと相互作用する方式にある。Microsoftはエンタープライズの防御者に対し、異常なスクリプト実行の監視と管理対象環境におけるクリップボードベースのコマンド貼り付けの制限を推奨している。

COINOTAGの分析:これら4件のインシデントには共通する構造がある——攻撃対象面がプロトコルレイヤーのエクスプロイトから、デジタル資産を取り巻くツール、カストディ、配布のレイヤーへと移行しているのだ。Coldcard侵害のオンチェーン証拠は1,719 BTCが数時間以内に識別可能なアドレスを通じて移動したことを確認しており、BTCPayの公式インシデントレポートはLND認証情報の漏洩を単一の未パッチコードパスに帰因させている。修復パターンは一貫している:パッチ適用、認証情報のローテーション、ノード活動の監査。機関投資家のエクスポージャーが深まるにつれ、サードパーティインフラ周辺のセキュリティデューデリジェンスがリスク管理の最前線となる——コンセンサスレイヤーの完全性ではなく。BinanceとRedotPayの紛争はさらに、商業ガバナンスが技術的セキュリティと並行して成熟しつつあることを示しており、業界の紛争解決メカニズムとして非公式な交渉に代わり訴訟が採用される傾向が強まっている。