2026年7月の暗号資産ハッキング被害は2億4,740万ドル、Coldcardのエクスプロイトが損失の中心に

2026年7月の暗号資産（暗号通貨）関連のハッキング被害額は推計2億4,740万ドルに達し、2026年で2番目に被害が大きい月となった。DeFiLlamaの集計によると、6月の約7,500万ドルの3倍超、5月の6,000万ドルの4倍規模。年内でこれを上回ったのは、約6億4,400万ドルを記録した4月のみだった。 7月は、Coldcardのハードウェアウォレットを突いた攻撃が最大の焦点となった一方、オラクル、秘密鍵、ブリッジ、運用インフラといった領域が引き続き主要な攻撃対象であることも浮き彫りになった。 ■ Coldcardのエクスプロイトが7月被害を主導 被害規模が突出したのはColdcard。Galaxy Researchは、約7,300のビットコイン（BTC）ウォレットに影響した少なくとも3回の攻撃波を確認し、盗難額は1億ドル超に達したと指摘する。4回目の攻撃波の可能性もあり、その場合は被害が約1億3,000万ドルに膨らむ余地がある。DeFiLlamaは同事案を約1億1,500万ドルと推計しており、この数字を前提にするとColdcardだけで7月全体の盗難額の約46%を占めた計算になる。 Coldcardは秘密鍵をオフラインで保管することを目的としたハードウェアウォレットであるだけに、影響は大きい。脆弱性は、影響を受けたバージョンにおけるウォレット復旧情報（リカバリー情報）の生成方法に関連していた。コールドストレージはオンライン攻撃への露出を下げるものの、ハードウェアやファームウェア起因のリスクをゼロにはできないことが示された。 ■ Arbitrum周辺でAFXとOstiumが計約4,800万ドルの被害 Arbitrumでも大型インシデントが2件発生した。7月22日、AFX関連ブリッジが秘密鍵の侵害を受け、約2,415万ドルが流出。攻撃者は盗んだUSDCの多くをイーサリアム（ETH）に交換したとされる。Offchain Labsは、Arbitrumのネイティブブリッジ自体は侵害されていないと説明している。 これに先立つ約1週間前には、分散型取引プラットフォームOstiumが約2,375万ドルの被害を公表した。オフチェーンの価格インフラが侵害され、攻撃者が偽の価格レポートを提出。これを利用して、Ostiumの流動性プロバイダー（LP）ボルトに対し人為的に利益が出る取引を成立させたという。Ostiumは、トレーダーの担保は分離管理されており影響はないとしている。 ■ Bonzo Lend、第三者オラクル経由で約900万ドル流出 Hedera基盤のレンディングプロトコルBonzo Lendは7月11日、SAUCEの価格が第三者オラクルの検証システムの脆弱性を突かれて操作され、約900万ドルを失った。操作された価格により攻撃者の担保価値が不自然に膨らみ、実態を大きく上回る借り入れが可能になった。Bonzoはその後、Hedera Foundationが支援するリカバリーファシリティを通じて影響を受けたユーザーのポジションを補填すると発表した。 ■ TripleAのホットウォレットが侵害、推計970万ドルの被害 暗号資産決済企業TripleAもインフラ面で狙われた。7月下旬、複数ブロックチェーン上のホットウォレットへの不正アクセスが発生し、当初推計で約970万ドルが流出。DeFiLlamaはホットウォレット侵害として分類している。TripleAは顧客資産は分離保管で影響はないと説明した。 ■ ブリッジも主要標的に ブリッジ関連の被害も目立った。VerusEthereum Bridgeは7月22日、DeFiLlamaが「ブリッジ検証のバイパス」と分類する手口で約753万ドルを失った。Wanchainもその前日に、署名に関連するエクスプロイトで約650万ドルの損失が発生した。 このほか、Crypto DAOで約820万ドル、Allbridge Coreで約165万ドルの被害が報告されたほか、オラクルや流動性操作に絡む複数の小規模インシデントが月間合計を押し上げた。 一方、SecondFiについては整理が必要だ。Cardanoウォレットの被害は約240万〜260万ドルとされ、7月のハックまとめに複数登場したが、SecondFi側の時系列では主要な攻撃波は6月21日〜6月23日に発生したとしている。影響拡大への対応、復旧作業、最終的な停止判断が7月を通じて続いた。 7月の一連の事例は、暗号資産の攻撃対象が脆弱なスマートコントラクトにとどまらず、秘密鍵、ハードウェアウォレット、オラクル基盤、ブリッジ、運用システムにまで広がっている現状を改めて示した。