#ハック

厳密には異なる概念である。ハックは攻撃者がシステムの脆弱性を意図的に悪用して資金や情報を不正取得する行為全般を指す広い用語であり、取引所サーバ侵害、ウォレットの秘密鍵流出、スマートコントラクトの脆弱性突破、フィッシングによる承認誘導など多様な手口が含まれる。一方、セキュリティインシデントはより包括的な概念で、ハック以外にも内部不正、人的ミス、設定不備、システム障害、サプライチェーン経由の侵害なども含む。報道では便宜上同義で扱われるケースもあるが、原因究明、保険適用、規制当局への報告において両者の区別は重要であり、被害規模や責任範囲の特定にも影響する。

第一に、長期保有資産はハードウェアウォレットなどコールドストレージに移し、取引所残高を最小化することが推奨される。第二に、二要素認証はハードウェアキーや認証アプリ方式を採用し、SMS認証は可能な限り避ける。第三に、ウォレット接続時の署名内容を必ず確認し、無制限承認(unlimited approval)を避け、不要になった承認はrevoke.cashなどで定期的に取り消す。第四に、シードフレーズはオフラインで紙や金属プレートに保管し、画像化やクラウド保存を行わない。第五に、DMやSNS経由のリンクは原則開かず、公式ドメインをブックマークから直接アクセスする。第六に、利用するDeFiプロトコルは監査履歴、TVL、運営チームの透明性を確認する。これらは万能ではないが、攻撃面を大幅に縮小する基本姿勢として有効である。

日本では2017年の改正資金決済法により暗号資産交換業が登録制となり、顧客資産の分別管理、コールドウォレットでの保管義務、自己資本規制、内部管理体制の整備などが義務付けられている。2022年以降はステーブルコイン規制や信託保全的なスキームも整備された。ハック被害が発生した場合、登録業者は金融庁に報告し、利用者への補償計画を提示することが求められる。過去にはMt.Gox、Coincheck、Zaifなどの大規模事案で対応が分かれたが、近年の業者は補償資金の事前確保や保険加入を進めている。ただし、海外無登録業者やDeFiプロトコルの利用は国内規制の保護対象外であり、自己責任の原則が強く適用される点に留意が必要である。

主な要因は四つある。第一に、スマートコントラクトはデプロイ後の修正が原則できず、コード上の脆弱性が永続的な攻撃面となる。第二に、DeFiは複数プロトコルを組み合わせるコンポーザビリティが特徴であり、単一プロトコルの脆弱性が連鎖的に他プロトコルへ波及する。第三に、価格情報を外部から取得するオラクルが操作されると、清算ロジックや担保評価が歪み、フラッシュローン攻撃の温床となる。第四に、ガバナンストークンを介した提案承認の不備や、アップグレード可能なプロキシコントラクトの管理者鍵流出も大規模被害の要因となる。加えて、新興プロトコルが十分な監査を経ずに大量の流動性を集める事例も多く、構造的なリスクが高い領域である。

影響は事案の規模、流出資産の種類、被害プロトコルの市場シェアによって大きく異なる。短期的には被害プロトコルのトークンが急落し、関連エコシステムにも連想売りが波及する。流出資金が即座にDEXやミキサーを通じて売却される場合、対象トークンへ直接的な売り圧力が発生する。市場全体への影響は、被害規模が数億ドル超かつ業界全体の信頼を揺るがすケース(取引所破綻型や主要ステーブルコイン関連事案など)で顕著となり、リスクオフによりビットコイン・イーサリアムを含む主要銘柄も下落する傾向がある。一方、限定的なケースでは数日で吸収される。中長期的には規制強化、監査需要の増加、保険プロトコルの拡大、セキュリティ関連銘柄への資金流入など、エコシステム全体の構造変化を促す側面もある。