史上最大の暗号ハッキング: 完全な歴史 (2026 年更新)

2011 年以来、犯罪者、国家関係者、日和見的な搾取者が、ハッキング、エクスプロイト、取引所の侵害を通じて 200 億ドル以上の暗号通貨を盗んでいます。暗号の歴史は、多くの意味で、これらの盗難の歴史です。大きな事件が起こるたびに、取引所の資金保管方法やDeFiプロトコルの処理方法が再構築されてきました。 スマートコントラクト のアップグレード、および規制当局が業界全体をどのように見ているか。最大の暗号ハッキングを理解することは、単なる興味深いトリビアではありません。これは、デジタル資産を保有する人、Web3 で構築する人、または集中プラットフォームで取引する人にとって不可欠なコンテキストです。

このガイドでは、2026 年までの史上最大の 15 件の暗号ハッキングをランク付けし、それらを可能にした攻撃ベクトルを分析し、追跡したものを北朝鮮の Lazarus Group などの国民国家主体によるものとし、どの盗まれた資金がこれまでに回収されたかを分析しています。また、Chainalies のようなブロックチェーンフォレンジック会社や ZachXBT のようなオンチェーン調査会社が、ミキサー、ブリッジ、集中型取引所をまたがって盗難資産をどのように追跡するかについても見ていきます。最後までに、暗号セキュリティのこれまでの状況、現在の状況、そして今後どのような攻撃パターンに注意すべきかについての完全な全体像が得られるでしょう。

その数字は驚異的です。史上最大のハッキングである 2025 年 2 月の Bybit コールドウォレット侵害は、1 回の攻撃で 15 億ドルを流出させました。この 1 件のインシデントは、2023 年の年間ハッキング件数全体を上回りました。しかし、これは、2011 年のマウントゴックスから始まり、同じ根本的な脆弱性の新たなバリエーションが毎年悪用され続ける、より長い物語の一章にすぎません。

史上最大の暗号ハッキング トップ 15

このランキングは、事件発生時に盗まれた資産の米ドル建ての価値に基づいています。事故後に回収が行われた場合は、元の損失額が使用されます。このリストは 2026 年まで更新され、集中型交換機の侵害と分散型プロトコルのエクスプロイトの両方が含まれています。

#1 Bybit (15 億ドル、2025 年 2 月): 史上最大のハッキング

2025 年 2 月 21 日、中央集権取引所 Bybit は、単一の仮想通貨盗難としては史上最大となる事件を経験しました。攻撃者は、Safe マルチシグ ウォレットでの日常的な署名操作中にユーザー インターフェイスを操作し、署名者をだまして、Bybit のイーサリアム コールド ウォレットの 1 つの制御を攻撃者が管理するアドレスに移管するトランザクションを承認させました。数時間以内に、当時約15億ドル相当の約40万1,000ETHが流出した。

この攻撃は、従来の意味でのスマート コントラクトのバグではありませんでした。 Safe コントラクト自体は設計どおりに機能しました。エクスプロイトはヒューマン インターフェイス層で発生しました。署名者は、正当なトランザクションのように見えるものをブラウザで確認しましたが、基盤となる通話データは、侵害された Safe フロントエンドを通じて注入された悪意のあるコードによって変更されていました。これはブラインド署名攻撃と呼ばれることもあり、スマート コントラクトは健全であるものの、トランザクションの署名に使用されるインターフェイスが侵害されるという新世代の脅威を表しています。

24 時間以内に、FBI、Chainalies、Elliptic、ZachXBT は攻撃の原因を公的に発表しました。 Lazarus グループ、北朝鮮国家支援のハッキング集団。盗まれたETHは、数千の仲介ウォレットに急速に分割され、DEXを介して交換され、以下を含むミキサーに注ぎ込まれました。 Tornado Cash とビットコインに焦点を当てた eXch スワップサービス。 Bybitの最高経営責任者（CEO）Ben Zhou氏は数時間以内に損失を公に認め、主要な取引相手からの緊急つなぎ融資を開始し、顧客の資金を全額返済すると約束した。同取引所はその約束を尊重し、72時間以内に全額の出金を再開し、この対応はクラス最高の危機管理として広く賞賛された。

#2 Ronin Network (6 億 2,500 万ドル、2022 年 3 月)

Ronin ブリッジは、暗号通貨の歴史の中で最も成功した Play-to-Earn ゲームである Axie Infinity を動かすサイドチェーンでした。 2022 年 3 月、Lazarus Group の工作員はソーシャル エンジニアリングを行い、同社の上級エンジニアの 1 人に対する偽の LinkedIn 求人を通じて Sky Mavis に侵入しました。エンジニアは職務内容の PDF のように見えるものをダウンロードしましたが、実際には攻撃者に Sky Mavis インフラストラクチャへの永続的なアクセスを与えるマルウェアが含まれていました。

そこから、攻撃者は 9 つのうち 4 つを収穫しました。 validator key Ronin ブリッジからの出金に署名するために必要な認証情報。また、Axie DAO によって制御される 5 番目のバリデーターが、以前のトラフィックの多い期間にトランザクションに自動署名するように構成されており、その構成が決して元に戻されていなかったことも発見しました。 9 件の署​​名のうち 5 件を管理下に置き、173,600 ETH と 2,550 万 USDC、合計約 6 億 2,500 万ドルの出金取引を鋳造しました。

この侵害は 6 日間検出されませんでした。 Ronin が盗難に気づいたのは、ユーザーが 5,000 ETH を出金しようとしたとき、ブリッジが空だったために取引が失敗したときだけでした。米国財務省のOFACは、受け取り側のウォレットを制裁し、攻撃の原因を正式に認定した。 Lazarus 2022 年 4 月。盗まれた資金はほとんど回収されませんでした。 Sky Mavis と Binance は共同で、影響を受けたユーザーのために 1 億 5,000 万ドルの償還プールを提供しました。

#3 Poly Network ($611M、2021 年 8 月): 返されたハック

Poly Network は、クロスチェーン相互運用性プロトコルです。 2021 年 8 月、1 人の攻撃者がプロトコルによるクロスチェーン メッセージの検証方法の脆弱性を悪用し、実質的に Poly コントラクトの管理者権限を鋳造し、イーサリアム、BSC、Polygon 全体で 6 億 1,100 万ドルを流出させました。

その後、予期せぬことが起こりました。後に「ミスター・ホワイトハット」を名乗った攻撃者は、その後2週間で盗んだ金額のほぼ全額を自発的に返還した。彼らはハッキングが「楽しみのため」、脆弱性を暴露するために実行されたと公に述べた。 Poly Network は、攻撃者に 50 万ドルのバグ報奨金と最高セキュリティ アドバイザーとしての仕事を提供しました。攻撃者は報奨金を受け取りましたが、仕事は引き受けませんでした。これは依然として主要な暗号通貨ハッキングの歴史の中で最も異例な結果です。このリストにある他のほとんどすべてのケースは、攻撃者が資金とともに永久に姿を消すという結末に終わりました。

#4 BNB チェーンブリッジ (5 億 7,000 万ドル、2022 年 10 月)

BSC トークン ハブとして知られる BNB チェーンのネイティブ クロスチェーン ブリッジが、偽造されたマークル証明を通じて悪用されました。攻撃者は、ブリッジの IAVL 証明検証が特定のエッジ ケースを処理する方法に欠陥があることを発見しました。橋が有効であると認めた悪意のある証拠を作成することで、彼らは当時約 5 億 7,000 万ドル相当の 200 万 BNB を鋳造しました。これは典型的な例です bridge exploit では、クロスチェーンメッセージの暗号検証が根本的に破られています。

この攻撃はおそらくもっと大きな損失をもたらしたでしょうが、BNB Chainのバリデーターセットは悪用から数時間以内にネットワークの緊急停止を調整しました。ブロックの生産を停止することで、BNBチェーン上で盗まれた資金のうち約4億3000万ドルを凍結した。残りの1億3,700万ドルはすでに他のチェーンに埋められており、ほとんど回収できなかった。このインシデントは、許可されたバリデータ セットのリスク (ネットワークがまったく停止される可能性がある) と利点 (損失が想定されるものの数分の 1 に制限された) の両方を浮き彫りにしました。

#5 Coincheck (5 億 3,000 万ドル、2018 年 1 月)

東京に拠点を置くコインチェックは、マルチ署名保護なしで約5億2,300万のNEMトークンを単一のホットウォレットに保管していました。 2018 年 1 月、攻撃者はウォレットを侵害し、約 5 億 3,000 万ドル相当の残高全体を、彼らが管理する 11 の異なるアドレスに転送しました。 NEM財団は盗まれたコインにオンチェーンのタグを付け、取引所に拒否するよう求めたが、資金のほとんどは意味のある介入が行われる前にダークマーケットや追跡不可能なスワップサービスを通じて洗浄された。

コインチェックは最終的に自社の企業資金から影響を受けたユーザーに返金を行ったが、これは当時としては異例のことであり、日本の取引所に対する信頼をある程度回復するのに役立った。 Coincheckのハッキングは依然として日本の取引所からの単一最大の暗号通貨盗難事件であり、顧客資産のコールドストレージを義務付ける日本の金融庁規制の厳格化に直接つながった。 セキュリティ 監査、および運用資金と顧客資金の分離。

#6 マウントゴックス ($470M、2011-2014)

マウントゴックスは元の暗号ハッキングであり、おそらく最も影響力のあるものです。東京に本拠を置くマウントゴックスは、2013年のピーク時には全世界のビットコイン取引量の約70％を扱っていた。2011年から始まった複数年にわたって、攻撃者は脆弱なセキュリティとほぼ確実に内部共謀を悪用し、取引所のウォレットから約85万BTC（2014年の価格で約4億7000万ドル相当）を組織的に流出させた。今日のBTC価格では、損失は数百億ドルに相当します。

マウントゴックスは 2014 年 2 月に破産を宣告されました。この訴訟は金融史上最も長期にわたる破産手続きの 1 つとなりました。債権者への民事再生の分配は2024年にようやく始まり、最初の破綻から10年以上経った2025年まで続いた。マウントゴックス事件は、ほぼすべての仮想通貨取引所が従うことになるテンプレートを設定しました。警告の兆候は公にされ、障害は組織的であり、回復プロセスは曲がりくねって遅かったのです。マウントゴックスからの教訓は、今日でも交換所の保管慣行に反映されています。

#7 FTX (破産後の流出額 4 億 1,500 万ドル、2022 年 11 月)

FTXはハッキングとしてよりも詐欺として有名ですが、取引所が連邦破産法第11章を申請してから数時間後の2022年11月11日の夜、未知の攻撃者がFTXウォレットから約4億1,500万ドルを流出させました。新しい破産管財人は翌日、損失を公的に認めた。後の調査により、この攻撃は、FTX へのアクセスを保持していた元 FTX 従業員または請負業者によるものであることが判明しました。 private key 破産申請の混乱の最中の資料。

2024 年、米国連邦検察は FTX 排水に関連して 3 名を電信詐​​欺と加重個人情報窃盗の共謀罪で起訴しました。この事件は、ハッキングと、影響を受けるユーザーにとって最悪の瞬間に衝突した企業の失敗の余波の両方を表しているため、異例です。

#8 ワームホール (3 億 2,000 万ドル、2022 年 2 月)

ワームホールはソラナとイーサリアムの間の架け橋です。 2022 年 2 月、攻撃者はブリッジがガーディアン署名を検証する方法の欠陥を悪用しました。彼らは、偽造署名を含む悪意のある VAA (検証可能なアクションの承認) を提出し、実際にはイーサリアムに 120,000 wETH がロックされていないのに、ブリッジがロックされていると信じ込ませました。その後、ブリッジはソラナで 120,000 ウェスを攻撃者に鋳造し、攻撃者は即座にそれを SOL や他の資産と交換しました。

ワームホールの物語のユニークな展開は救済です。ワームホール プロジェクトの最大の支援者の 1 つであるジャンプ クリプトは、損失を防ぐために直ちに 3 億 2,000 万ドルの自社 ETH をブリッジに預け入れました。これは当時の仮想通貨史上最大の民間救済策でした。つまり、実際に資金を失ったワームホール ユーザーは一人もいなかったということです。費用は全額ジャンプが負担した。攻撃者は公表されていませんでした。

#9 DMM ビットコイン (3 億 500 万ドル、2024 年 5 月)

日本の取引所DMM Bitcoinは、秘密鍵侵害により2024年5月に3億500万ドル相当の約4,503BTCを失いました。取引所の親会社は影響を受けたユーザーに補償するために緊急資本を注入した。日本の警察は後にFBIと協力し、犯行声明を発表した。 Lazarus では、サードパーティのウォレット サービス プロバイダーのソーシャル エンジニアリングが最初の侵入ベクトルとして特定されました。 DMM Bitcoinは2024年末に事業を縮小し、顧客アカウントをSBI VC Tradeに移管すると発表した。

#10 KuCoin (2億8,100万ドル、2020年9月)

KuCoin のホットウォレットは、2020 年 9 月 25 日に、当初は壊滅的な攻撃に見えましたが、最終的には仮想通貨史上最高の回復物語の 1 つとなった攻撃により流出しました。攻撃者は、ビットコイン、イーサリアム、および幅広い ERC-20 トークンにわたって約 2 億 8,100 万ドルを盗みました。 KuCoin はプロジェクト チームと協力して、まだ交換されていないトークンを凍結し、攻撃者のアドレスをブラックリストに登録し、凍結が不可能な一部のトークンのフォークを調整しました。その結果、盗難された価値の約 84% が最終的に回収されました。

#11 Nomad Bridge ($190M、2022 年 8 月)

Nomad ブリッジ ハックは、無料でできるようになったという点でユニークです。定期的なスマート コントラクトのアップグレードにより、ブリッジがあらゆるメッセージを有効なものとして受け入れる原因となるバグが導入された後、最初の攻撃者が資金の一部を使い果たしました。その後、数十人の模倣者が Etherscan 上の同じエクスプロイトに気づき、トランザクションをコピーし、自分のアドレスを置き換えて再実行しました。高度な MEV ボットから、トランザクション内の 1 つのフィールドを変更しただけの初めてのエクスプロイトまで、数百の異なるアドレスによって数時間以内に約 1 億 9,000 万ドルが使い取られました。一部のホワイトハットは、後で返還するために積極的に資金を流出させました。

#12 豆の木 ($182M、2022 年 4 月)

Beanstalk Farms は、トークン加重投票によって管理されるステーブルコイン プロトコルでした。 2022 年 4 月、攻撃者はフラッシュ ローンを利用して大部分のガバナンス トークンを取得し、すべてのプロトコル資金を自分たちが管理するアドレスに転送するという悪意のある提案に投票し、フラッシュ ローンを返済するというすべてを 1 回のトランザクション内で実行しました。この悪用により 1 億 8,200 万ドルが流出しました。これはガバナンスフラッシュローン攻撃の典型的な例であり、DeFi全体でスナップショットベースの投票と時間ロックされた提案遅延の広範な採用につながりました。

#13 ウィンターミュート (1 億 6,000 万ドル、2022 年 9 月)

Wintermute は大手暗号通貨マーケットメーカーです。 2022 年 9 月、攻撃者は、同社が運用ウォレットの 1 つを作成するために使用していた Profanity バニティ アドレス ジェネレーターの脆弱性を悪用しました。冒涜は不十分なエントロピーを使用し、特定のバニティ アドレスをブルート フォースで解読できるようにしました。攻撃者はWintermute管理者アドレスの秘密鍵をリバースエンジニアリングし、同社のDeFi保管庫から1億6000万ドルを流出させた。

#14 Cream Finance ($130M、2021年10月)

Cream Finance は、2021 年だけで 3 つの別々の悪用被害を受けたマネー マーケット プロトコルです。 10月の事件は最大規模で、攻撃者は複雑なフラッシュローン戦略を使ってyUSDの価格オラクルを操作し、担保の実際の価値をはるかに上回る金額をクリームから借りられるようにした。この悪用により 1 億 3,000 万ドルが流出しました。クリームは完全に回復することはなく、プロトコルはその後数年間にわたって徐々に手術を終了しました。

#15 マルチチェーン (1 億 2,600 万ドル、2023 年 7 月)

Multichain (旧 AnySwap) の崩壊は、依然として暗号通貨における最も奇妙な話の 1 つです。 2023年7月、奇妙な状況下でユーザー資産1億2,600万ドルがマルチチェーンブリッジ契約から流出した。伝えられるところによると、このプロトコルの CEO は中国当局に拘束され、橋へのすべての MPC (マルチパーティ コンピューテーション) キーを保持していました。彼が不在の場合、鍵をローテーションしたり取り消したりすることはできず、誰か (おそらく当局、おそらくハッカー、おそらくチーム自体) が橋の水を抜きました。プロトコルは永久にシャットダウンされ、影響を受けたほとんどのユーザーは資金を回収することができませんでした。

攻撃ベクトル分類法: 暗号通貨がハッキングされる 5 つの方法

毎年発生する 15 件のインシデントと数百件の小規模なハッキングすべてにわたって、ほぼすべてのエクスプロイトが 5 つの攻撃ベクトル カテゴリのいずれかに当てはまります。これらのカテゴリを理解することは、やり取りするプラットフォームのリスクを評価するのに役立ちます。

ラザロ・グループ: 北朝鮮の国営俳優

ハッキングの事後調査を十分に読んでいると、1 人の名前が引き続き表示されます。 Lazarus グループは、北朝鮮偵察総局に属するハッキング集団です。 FBI、CISA、NCSC、韓国国家情報院を含む複数の諜報機関は、国際制裁に直面して北朝鮮の兵器開発計画に資金を提供している国家支援者としてラザロ氏を公的に指名した。米国財務省 OFAC は、グループが使用する多数のウォレットとミキサーを認可しました。

Lazarus は、この記事の上位 15 件のハッキングのうち、Bybit (15 億ドル)、Ronin (6 億 2,500 万ドル)、DMM Bitcoin (3 億 500 万ドル) の少なくとも 3 つに関与していると考えられています。彼らはまた、Atomic Wallet ハッキング (1 億ドル、2023 年 6 月)、Stake.com ハッキング (4,100 万ドル、2023 年 9 月)、WazirX ハッキング (2 億 3,500 万ドル、2024 年 7 月)、および多数の小規模な事件にも関与したと考えられています。 Lazarus がすべての暗号通貨操作で盗んだ総額は 30 億ドルを超え、これらの窃盗を通じて北朝鮮のミサイル開発予算の約半分を賄っていると考えられています。

Lazarus の操作は、認識可能なプレイブックに従います。通常、侵入はソーシャル エンジニアリングから始まり、多くの場合、「コーディング チャレンジ」PDF または圧縮アーカイブでマルウェアを配布する LinkedIn 上の偽の求人情報が提供されます。このマルウェアは永続的なアクセスを確立し、攻撃者がトランザクションに署名したり秘密キーを抽出したりできるようになるまで、ターゲット組織内の権限を徐々に昇格させます。資金が盗まれると、何千もの中間アドレスに断片化され、DEX を介して交換されて元のトランザクションとのリンクが切断され、資金洗浄が行われます。 mixer サービスは、コンプライアンスが弱い管轄区域の OTC デスクを通じて法定通貨に変換される前に提供されます。

ブリッジ: ナンバーワンの攻撃面

上位 15 件のハッキングのうち、7 件は何らかの形でクロスチェーン ブリッジに関与していました: Ronin、Poly Network、BNB Bridge、Wormhole、Nomad、Multichain。ブリッジによる盗難資金は 25 億ドル以上に相当し、主要な暗号通貨盗難被害全体の約 4 分の 1 を占めています。この集中力は偶然ではありません。橋は、いくつかの構造上の理由により、固定することが独特に困難です。

まず、ブリッジは、あるチェーンで大量のロックされた担保を保持し、別のチェーンでラップされたトークンを裏付けています。このため、シングルチェーン プロトコルと比較して魅力的なターゲットになります。第 2 に、ブリッジは通常、一連のバリデータまたはガーディアンに依存して、あるチェーンからのメッセージが別のチェーンで有効であることを証明します。これらのバリデーターの多くが侵害されると、ブリッジがドレインされる可能性があります。 3 番目に、クロスチェーン メッセージの暗号検証ロジックは複雑でバグが発生しやすいため、ワームホールの署名検証の欠陥や BNB のマークル証明エクスプロイトなどのインシデントが発生します。この攻撃対象領域がどのように機能するかについて詳しくは、攻撃対象領域の専用の内訳をご覧ください。 ブリッジハック 現象。

CEX vs DeFi vs Bridge: 損失の内訳

一般的な説は、DeFi は危険で、集中型取引所は安全であるというものです。データはより微妙なストーリーを伝えます。

集中型取引所は単一損失の最大の原因となっており、依然として最高額のターゲットとなっています。 DeFi プロトコルでは、より頻繁にエクスプロイトが発生しますが、一般的には小規模です。ブリッジは、集中型インフラストラクチャと分散型契約の間に位置する独自のカテゴリを占めており、多くの場合、両方の最悪の特性を備えています。これは、投資家やトレーダーにとって、問題は「DeFiはCEXより安全か」ではないことを意味します。問題は、どの特定のプラットフォームが、そのアーキテクチャに適用される特定の攻撃ベクトルに対して自身を強化するセキュリティ作業を行ったかということです。

回収結果: 返品、一部返品、なし

資金が盗まれると、攻撃者の身元、使用されたロンダリング パス、および捜査員がどれだけ迅速に行動できるかによって、回収の可能性は大きく異なります。上位 15 のハッキングの結果は、おおよそ次のように分類されます。

模様がはっきりしています。攻撃者は、非協力的な管轄区域のミキサーや OTC デスクのチェーンを通じて資金洗浄を行うためのインフラストラクチャと時間を持っているため、国家機関によるハッキングはほとんど回収されません。取引所が存続している場合の取引所ハッキングでは、実際に盗まれた金額が回収不可能な場合でも、企業資金からユーザーに払い戻されることがよくあります。 DeFi のエクスプロイトは、エクスプロイト者が特定され、法的手段に訴えると脅された場合、部分的な返還につながることがあります。

ブロックチェーンフォレンジック: 盗まれた資金を追跡する方法

パブリックブロックチェーンは前例のないフォレンジックトレイルを作成します。すべてのトランザクションは永続的に記録されます。課題はデータを見つけることではなく、数百万のアドレスにわたってデータを解釈し、オンチェーンのアクティビティを現​​実世界のアイデンティティに結び付けることです。少数の企業や個人がこの仕事の世界的な専門家になっています。

連鎖分析 は最大のブロックチェーン分析会社であり、世界中の法執行機関で使用されている主要なツールです。彼らは、アドレス属性の包括的なデータベースを維持し、取引パターン分析を通じて同じエンティティに属するウォレットをクラスタリングし、盗難された資金が法定通貨システムに入るキャッシュアウトポイントを特定できるように取引所と直接関係を持っています。

アーカム・インテリジェンス は、オンチェーン分析と報奨金システムを組み合わせた、より小売業向けのプラットフォームを提供します。ユーザーは特定のウォレットの所有者を特定することで報酬を投稿でき、クラウドソーシングによるアトリビューション レイヤーを作成して、いくつかの主要なハッキングのアトリビューションを明らかにすることができます。

ザックXBT は、最も著名な独立系ブロックチェーン研究者です。彼は、事件発生から数時間以内に Bybit ハッキングに関する重要な情報を提供するなど、いくつかの Lazarus 作戦の最初の関与を証明したとされています。ソーシャルメディア上の彼の調査スレッドは法執行機関の行動につながり、複数のケースでユーザーの資金を救出しました。

楕円形 と TRMラボ は、主に取引所、金融機関、政府機関と連携する他の大手商業フォレンジック会社です。彼らの自動スクリーニングツールは、ほとんどの規制対象取引所が現在、認可されたアドレスや既知のミキサー出力からの入金を拒否している理由の一部です。

取引所はどのようにセキュリティを強化したか

主要なハッキングはそれぞれ、業界全体の構造変化を引き起こしました。マウントゴックスの後、取引所は埋蔵量の証明と冷蔵保管の慣行を採用しました。 Coincheck以降、マルチシグネチャウォレットが標準になりました。 Bybit のハッキング後、OKX や Binance を含むいくつかの主要な取引所は、追加の検証レイヤー、コールド ウォレット操作のためのハードウェア支援署名、署名前のサンドボックスでのすべてのトランザクションの必須シミュレーションの実装を加速しました。

ハッキングに対する Bybit 自身の対応は、為替回収のケーススタディとなっています。侵害から 12 時間以内に、CEO は損失を公表し、主要な取引先とのブリッジローン制度を開設し、引き出しを一時的に凍結し、すべての顧客を健全にすることを約束しました。 72 時間以内に完全な操作が再開され、ほとんどのユーザーが資金を正常に引き出すことができました。この反応は、為替の回復力が現在、予防と同じくらい重要であることを示しています。数十億ドルの準備金を持つ一流取引所でさえハッキングされる可能性があります。問題は、彼らが余波にどれだけ迅速かつ透明性を持って対処するかだ。

最新の Exchange セキュリティ スタックには、通常、顧客資産の少なくとも 90% を保管するコールド ストレージ、すべての署名操作に対応するハードウェア セキュリティ モジュール、署名者の地理的分布によるマルチ署名スキーム、署名前に異常なパターンにフラグを立てるトランザクション シミュレーションとポリシー エンジン、高価値操作に対する必須の二重制御、通常のサードパーティが含まれます。 スマートコントラクトの監査 カスタム契約のレビュー、および定期的なスケジュールで発行される準備金証明書の証明。

学んだ教訓: すべての投資家が知っておくべきこと

暗号通貨ハッキングの歴史は、自分の保有資産をどのように管理するかに直接当てはまるいくつかの教訓を教えてくれます。まず、一流のプラットフォームであっても為替リスクは存在します。 Bybit のハッキングは、最もセキュリティを重視した集中型取引所でも侵害される可能性があることを証明しました。取引所に多額の残高を保有している場合は、予防管理だけでなく、取引所のインシデント対応姿勢を評価する必要があります。

第二に、ブリッジはシングルチェーン保有よりも本質的にリスクが高くなります。チェーン間で資産をブリッジする場合は、ブリッジをチェーン内で最も弱いリンクとして扱い、資金をブリッジしておく量と時間を最小限に抑えます。橋は、資産を駐車する場所としてではなく、積極的に移動する場合にのみ使用してください。

第三に、ガバナンス トークンは貴重であり、スナップショット投票とタイムロックが実装されていない場合、委任先のプロトコルはガバナンス攻撃の危険にさらされる可能性があります。 DAO ガバナンスに参加する前に、プロトコルがフラッシュ ローン ガバナンス悪用に対して強化されているかどうかを確認してください。

4 番目に、カストディ ソフトウェアとウォレットのフロントエンドが重要です。 Bybit のハッキングは、それ自体は安全なマルチシグ ウォレットの UI 層で発生しました。高価値のオペレーションに署名する前に、ハードウェア ウォレット ディスプレイなどの独立したソースを通じてトランザクション呼び出しデータを必ず検証してください。

5 番目に、単純な保護は引き続き機能します。失いたくない保有物にはハードウェアウォレットを使用してください。取引所での出金アドレスの許可リストを有効にします。 Exchange アカウントには一意のパスワードとハードウェア セキュリティ キーを使用します。これらの基本的な対策があれば、このトップ 15 リストには含まれていないものの、合計するとユーザーに毎年数十億ドルの損害を与えている小規模なハッキングの大部分を防ぐことができたでしょう。より広範なセキュリティのコンテキストについては、次のような一般的な攻撃ベクトルの内訳をご覧ください。 ハニーポット トークン、 ラグプル 詐欺、 MEV 抽出、 サンドイッチ攻撃 メカニック、 51% 攻撃 理論、および シビル攻撃 パターンはすべて、より広範なセキュリティ環境で役割を果たします。

2025 年の転換点: Bybit がすべてを変えた方法

2025 年 2 月の Bybit ハッキングは、業界全体にとって転換点となりました。 1回の取引で15億ドルという膨大な損失額は、前暦年の損失総額を上回り、すべての主要取引所で冷蔵保管業務がどのように行われているかの迅速な再評価を余儀なくされた。このエクスプロイトがマルチシグ システムの暗号コアではなく、ヒューマン マシン インターフェイスをターゲットにしていたという事実は、「安全な」保管の従来の定義が不十分であることを示しています。

ハッキング後の数か月で、いくつかの構造的変化が業界全体に広がりました。 Ledger や Trezor などのハードウェア ウォレット メーカーは、トランザクション コール データの人間が判読できる解釈をデバイス画面に表示する「明確な署名」の取り組みを加速し、悪意のある UI で署名者をだますことを困難にします。 Safe プロジェクト自体は、フロントエンドのセキュリティ アーキテクチャを徹底的に見直し、高価値の運用のための追加の検証フローを導入しました。いくつかの機関管理者は、署名前にすべての取引に対してエアギャップシミュレーションを義務付け始めました。

ロンダリングの面では、Bybit 事件は前例のない国際協力を促しました。の eXch swap service, which had been used to launder a substantial portion of the stolen ETH, was shut down by European law enforcement in May 2025 after coordinated action by German and Dutch authorities. This was the most consequential takedown of a crypto laundering service since Bestmixer in 2019 and demonstrated that even nominally non-custodial swap services are not beyond reach of regulators.

規制の余波

数十年にわたる暗号通貨ハッキングの累積的な影響により、ほぼすべての主要な管轄区域で規制対応が推進されています。日本の金融庁は、マウントゴックスとコインチェックの経験から直接生まれた、世界的に最も厳しい保管要件の一部を課しています。 2024 年に本格的に施行された欧州連合の MiCA フレームワークでは、すべての認可された暗号資産サービスプロバイダーに対して、顧客資金の分離、低温保管要件、およびインシデント報告が義務付けられています。米国はSEC、CFTC、司法省を通じて執行を進めており、OFACはLazarusやその他の違法行為者に関連する多数のウォレットを制裁している。

混合サービスに対する制裁は特に大きな影響を及ぼしました。 Tornado Cash は 2022 年 8 月に OFAC によって制裁され、法廷での異議申し立ては 2026 年まで続きました。 Tornado Cash やその他のプライバシーツールは、ミキサーの技術的進化（より分散化された制裁耐性の高い設計に向けて）と、潜在的に混合された歴史を持つファンドに関わるあらゆる取引所とDeFiプロトコルのコンプライアンス姿勢の両方を形作ってきました。

一般ユーザーにとって、規制の余波は利益と摩擦の両方をもたらしました。顧客の資金分離ルールと準備金証明の証明により、有意義な追加の安全性が提供されます。旅行規則の遵守や入出金時の資金源の確認は面倒な場合がありますが、マネーロンダリング手段としての暗号通貨の価値が低下し、その結果、ハッキングに対する金銭的インセンティブがわずかに減少します。

ビデオ: 最大の暗号ハッキングの内部

最大規模の暗号通貨盗難とその実行方法を視覚的に要約します。

よくある質問