10大ビットコインハッキング事件で360億円が奪われ、90％のユーザーが依然として防止策を怠っている

著者：火火、白話ブロックチェーン

先週の土曜日、世界第2位のCEXであるBybitがハッキングされ、合計14.6億ドルのETHが盗まれ、歴史上単一トークンの盗難事件として最高記録を更新しました。そして、2月24日には、暗号金融カードサービスプロバイダーのInfiniもハッキングされ、約4950万ドルの資金がそのイーサリアムアドレスから盗まれました。この一連のセキュリティ事件は、すでに低迷している暗号市場にさらなる打撃を与え、暗号プラットフォームの資産セキュリティ管理が依然として不十分であることを浮き彫りにし、市場の流動性をさらに弱め、安全問題が再び業界の注目の焦点となっています。

近年、暗号セキュリティ事件が頻発しており、CEX、DeFiプラットフォーム、クロスチェーンブリッジなど、さまざまなターゲットが含まれています。ブロックチェーン分析会社Chainalysisの報告によれば、2024年にはハッカーが約22億ドルの暗号資産を盗み、これまでに盗まれた金額は50億ドル（約360億元）を超えています。

今日は過去の十大暗号セキュリティ事件（2025年2月のBybit盗難事件を含む）を振り返ります。この十大セキュリティ事件で失われた360億元の資産は、所有者にとって「血の涙の教訓」であり、個人にとっては、私たちが暗号資産を保護するために得られる重要なヒントは何でしょうか？

暗号セキュリティ事件 TOP10

下の図は、損失金額に基づいて並べられた十大暗号セキュリティ事件です。これらの事件は、スマートコントラクトの脆弱性からプライベートキーの漏洩、データベース攻撃など、さまざまな複雑な攻撃手法を含んでいます。

分析を通じて、これらの盗難事件は具体的なセキュリティの脆弱性を暴露するだけでなく、暗号業界における技術的防護とリスク管理の弱点も反映しています。

次に、これらの事件が発生した原因とそれがもたらした教訓に基づいて分類整理し、分析を行い、背後にあるセキュリティリスクをよりよく理解し、将来の防止策の参考にします。

1）ウォレットのプライベートキーまたはセキュリティ問題

Roninネットワーク盗難事件（2022年3月）：6.25億ドル

Roninネットワークは、ブロックチェーンゲームとNFTのために設計された拡張ソリューションで、Axie Infinityの開発チームであるSky Mavisによって作成され、イーサリアムの取引手数料と処理速度の制限を解決することを目的としています。

2022年3月、Roninネットワークは北朝鮮支援のハッカー組織Lazarus Groupに攻撃され、約6.25億ドルのイーサリアムとUSDCが盗まれました。ハッカーはネットワークの検証ノードを攻撃し、5つのノードを制御することに成功し、悪意のある取引を作成し署名することができ、最終的に資金を自分の制御するアドレスに移しました。

Coincheck盗難事件（2018年1月）：5.34億ドル

Coincheckは、日本の暗号市場で比較的有名なCEXの一つで、2012年に設立され、安全で便利な取引サービスを提供しています。

2018年1月、Coincheckはホットウォレットのセキュリティ問題によりハッキングされ、約5.34億ドルのNEMトークンが盗まれました。

DMM Bitcoin盗難事件（2024年5月）：3.05億ドル

DMM Bitcoinも日本に本社を置く暗号CEXで、2018年に設立されました。

2024年5月、DMM Bitcoinはハッキングされ、約4500枚のビットコイン（当時の市場価値は約3.05億ドル）が盗まれました。攻撃の具体的な手法はまだ調査中ですが、漏洩したプライベートキーがハッカー侵入の重要な要因である可能性があります。

KuCoin盗難事件（2020年9月）：2.75億ドル

KuCoinはシンガポールの有名なCEXで、2017年に設立されました。

2020年9月、KuCoinはハッキングされ、約2.75億ドルのさまざまな暗号トークンが盗まれました。ハッカーはCEXのホットウォレットのプライベートキーを取得し、大量の資産を盗むことに成功しました。

これら4件の盗難事件をまとめると、すべてホットウォレットまたはノードのセキュリティが不十分であったために盗まれたことがわかります。検証ノードやホットウォレットはインターネットに接続されているため、利便性が高く、ハッカー攻撃のターゲットになりやすいです。ハッカーの攻撃手法は多岐にわたり、マルウェア、フィッシング攻撃、またはプラットフォーム内部の脆弱性を利用してプライベートキーを取得することが含まれます。一度攻撃が成功すると、ハッカーは迅速に資産を移転でき、取り返しのつかない損失を引き起こします。相対的に、コールドウォレットなどインターネットに接続されていない保管場所は、オンライン攻撃のリスクを効果的に回避でき、暗号資産の保管においてより安全な選択肢となります。

また、CEXにとっては、プライベートキーの厳格な管理と保管の安全性を確保することが、大規模な資金盗難を防ぐための鍵です。個人ユーザーにとっても、プライベートキーを適切に保管することが資産の安全性を決定します。一度プライベートキーが失われたり漏洩したりすると、ユーザーは資産に対する完全なコントロールを失います。なぜなら、第三者が資金を取り戻す手助けをすることはできないからです。したがって、CEXでも個人でも、より完璧なキー保護措置を確立し、安全リスクを低減する必要があります。

2）スマートコントラクトの脆弱性

Poly Network盗難事件（2021年8月）：6億ドル

Poly Networkは、ユーザーが複数のブロックチェーンプラットフォーム間でシームレスに資産を移転・交換できるクロスチェーンプロトコルです。

2021年8月、Poly Networkのクロスチェーンブリッジはスマートコントラクトの脆弱性によりハッキングされ、約6億ドルのさまざまなトークンが盗まれました。ハッカーは脆弱性を利用して権限管理を回避し、大量のトークンを自分のアドレスに移転しました。しかし、驚くべきことに、その後ハッカーはプラットフォームと交渉し、大部分の盗まれた資金を返還しました。

Wormhole盗難事件（2022年2月）：3.2億ドル

Wormholeは、ユーザーが複数のブロックチェーンネットワーク間で資産を移転できる分散型のクロスチェーンブリッジプロトコルです。

2022年2月、WormholeのクロスチェーンブリッジはSolanaとイーサリアムブロックチェーンを接続中にハッキングされ、約3.2億ドルの包装イーサリアム（wETH）が盗まれました。攻撃者はクロスチェーンブリッジのスマートコントラクトの脆弱性を利用して、検証メカニズムを回避し、無許可で大量のwETHを鋳造し、自分のアドレスに引き出しました。

Poly NetworkとWormholeのセキュリティ事件は、資産移転と検証プロセスにおけるクロスチェーンプロトコルの脆弱性を暴露しました。特にクロスチェーン資産の管理と検証において、脆弱性はハッカーに利用されやすく、大きな損失を引き起こす可能性があります。これにより、クロスチェーンプロトコルの設計は、スマートコントラクト内の権限管理にもっと注意を払う必要があることが示されています。操作の検証性を確保し、特にクロスチェーン資産の管理と検証の段階での注意が必要です。

安全性を高めるために、クロスチェーンプラットフォームは定期的に包括的なセキュリティ監査と脆弱性チェックを行い、潜在的な問題を迅速に発見し修正する必要があります。また、契約設計にマルチシグメカニズムとより厳格な権限管理を導入し、単一障害点やハッカーが重要な権限を制御することを避けることをお勧めします。さらに、クロスチェーンプロトコルの更新とメンテナンスには厳格なプロセスが必要であり、各修正とアップグレードが十分にテストされることを確保し、クロスチェーンプラットフォームの安全性を向上させ、攻撃リスクを低減し、ユーザー資産を保護する必要があります。

3）システムの脆弱性またはデータベースの漏洩

Mt. Gox盗難事件（2014年2月）：4.73億ドル

Mt. Goxはかつて世界最大のビットコインCEXであり、取引量は一時的に世界のビットコイン取引量の約70％を占めていました。2010年に設立され、日本に本社を置き、暗号業界の初期の発展において重要な役割を果たしました。

しかし、2014年、このCEXは複数のセキュリティの脆弱性により約85万枚のビットコインが盗まれ（当時の価値は約4.73億ドル）、最終的に破産し、暗号史上最も衝撃的なスキャンダルの一つとなりました。この攻撃は、監視メカニズムの不足と疑わしい活動への反応の遅れを暴露し、ハッカーの具体的な手法は今でも完全には解明されていません。

Mixin Network盗難事件（2023年9月）：2億ドル

Mixin Networkは、ブロックチェーン間の相互運用性の問題を解決することを目的とした分散型のクロスチェーンプロトコルです。

2023年9月、Mixin Networkのピアツーピア取引ネットワークはクラウドサービスプロバイダーのデータベース漏洩によりハッキングされ、約2億ドルのビットコインとイーサリアム資産が盗まれました。

これら2つの事件は、システムの脆弱性とデータベースの漏洩が暗号業界における深刻なリスクであることを暴露しました。Mt. Gox事件は、暗号CEXが十分なセキュリティ監視と応答メカニズムを欠いていることを浮き彫りにし、Mixin Networkの事件は、第三者のクラウドサービスに依存する際には特に注意が必要であることを思い出させます。類似の問題を避けるために、プラットフォームは多層的なセキュリティ防護を強化し、十分な監視と緊急対応システムを確立し、第三者の供給者との協力が十分な安全保障を持つことを確認する必要があります。

このような事件に対処する際には、まず「卵」を同じバスケットに入れないことが重要です。次に、問題が発生した際に、その「バスケット」が十分な補償能力を持っているかどうかに注意を払う必要があります。特に暗号分野では、CEXや他のプラットフォームを選択する際には、十分な準備金と財務の健全性を確保し、潜在的な大規模な損失に対処できることを確認する必要があります。また、プラットフォームのリスク対応メカニズム、保険政策、過去の補償記録を評価することも必要です。リスクは時には避けられないため、危機時に責任を負えるプラットフォームを選ぶことも、自分自身に対する責任です。

4）フロントエンドの改ざん詐欺

Bybit盗難事件（2025年2月）：15億ドル

Bybitは、2018年に設立された暗号CEXで、シンガポールに本社を置き、暗号デリバティブ製品を主に提供しています。

2025年2月22日にハッキングされた後、約15億ドルのイーサリアムなどの関連するステーキング資産が盗まれました。この事件はコールドウォレットの取引操作に関与しており、ハッカーは欺瞞的な署名インターフェースを通じて正しいアドレスを表示し、同時に基盤となるスマートコントラクトのロジックを変更し、資金を無許可のアドレスに移転しました。この攻撃手法は、コールドウォレットであっても絶対的に安全ではないことを示しています。

コールドウォレットはホットウォレットよりも安全ですが、Bybit盗難事件からもわかるように、安全意識が常に最も重要です。安全な記録を持つCEXを選ぶことに加えて、ウォレット管理、取引検証、安全な操作プロセスも同様に重要です。コールドウォレットは万能ではありません。

このBybit盗難事件の根本的な原因は、Safeのマルチシグ問題と攻撃手法に起因しています。攻撃者は、損傷した署名ウォレットSafeの開発者のマシンを通じてBybitに対する悪意のある偽装取引を開始しました。これは、開発者のデバイスと証明書のセキュリティ防護が不十分であるため、明確なスマートコントラクトの脆弱性やソースコードの問題がなくても、ハッカーに侵入される可能性があることを示しています。

これにより、安全な記録を持つCEXを選ぶことに加えて、ウォレット管理、取引検証、安全な操作プロセスが重要であり、開発者のマシン、証明書管理、および操作の各段階でセキュリティ意識を高める必要があります。また、ユーザーは取引を署名する際に特に注意を払い、各操作が疎かになっていないことを確認する必要があります。

5）フラッシュローン攻撃

Euler Finance盗難事件（2023年3月）：1.97億ドル

Euler Financeは、イーサリアムやOptimismなどのLayer 2ネットワークに基づいて構築された分散型金融プラットフォームで、シームレスで効率的な借入および貸出サービスを提供することを目指しています。

2023年3月、Euler Financeの分散型借入プラットフォームがフラッシュローン攻撃を受け、約1.97億ドルのさまざまなトークンが盗まれました。攻撃者はプラットフォームのスマートコントラクトの脆弱性を利用し、フラッシュローンを通じて市場価格を操作し、プラットフォームの清算メカニズムをトリガーして不正に資金を盗みました。

この事件は、分散型金融プラットフォームにおけるスマートコントラクト設計と市場メカニズムの潜在的な脆弱性を再び明らかにしました。フラッシュローン攻撃は通常、市場価格を操作し、清算メカニズムをトリガーすることに依存しており、プラットフォームの価格予測と市場の安定性における弱点を暴露しています。このような攻撃に対処するために、プラットフォームは特に市場操作と清算メカニズムに関連する部分のスマートコントラクトのコードを重点的に審査し、安全防護を強化する必要があります。

さらに、安全監査と過去の評判は、プロジェクトの信頼性を評価するための重要な要素です。たとえあるプロジェクトが高いリターンを約束しても、潜在的なリスクを無視しないようにし、罠に陥らないようにする必要があります。中央集権的なプラットフォームに資金を預ける場合でも、分散型アプリケーションを使用する場合でも、慎重さを保ち、決して油断しないことが重要です。

投機、詐欺、マネーロンダリングは、金融リスクを引き起こす可能性があります！「暗号資産」の失控を防ぐために、これらの対策は必ず確認してください - 今週刊

個人の保有者への安全なアドバイスは？

これらのセキュリティ事件を振り返ると、CEXのセキュリティの脆弱性、プライベートキー管理の失敗、ハッカー手法の進化が、暗号資産の安全を脅かしていることが明らかです。

これらの事件は、デジタル資産の世界に潜むリスクを明らかにするだけでなく、貴重な経験を提供します。潜在的な脅威を識別し、より安全な保管と取引方法を採用することは、すべての暗号ユーザーが注目すべき課題です。

次に、これらのケースからいくつかの重要な安全アドバイスをまとめ、デジタル資産を管理する際の実用的な参考として、リスクを低減し、次の被害者にならないように役立てたいと思います。

1）信頼できるプラットフォームを選ぶ

安全な記録を持ち、安全対策を透明に開示しているCEXまたはプラットフォームを選ぶことは、個人資産を保護するための第一歩です。

2）コールドストレージを使用して資産を保護する

重要なデジタル資産をコールドウォレットに保管することは、ハッカー攻撃を防ぐための重要な手段です。

3）二要素認証（2FA）を有効にする

携帯電話、電子メール、または専用の認証器をバインドすることで、ユーザーはログイン時に追加のセキュリティ層を追加でき、アカウントの未承認アクセスを効果的に防ぐことができます。定期的にアカウントの活動を確認し、監視することは、疑わしい取引や潜在的な脅威を迅速に発見するための効果的な手段です。

5）投資を分散し、リスクを低減する

資産を複数のプラットフォームやウォレットに分散することで、リスクを分散できます。たとえば、ユーザーは大部分の資産をコールドウォレットに保管し、少量の資金を日常取引に使用するか、信頼できるCEXに分散させて、単一プラットフォームで問題が発生した際の全面的な損失を減らすことができます。

6）信頼を置かない

暗号資産の最も重要な特徴は検証可能であることです。自分の暗号セキュリティを保証するために、ウォレット開発者が提供するソフトウェアやハードウェアを含む、いかなる第三者も無条件に信頼しないでください。また、個人のネットワーク接続デバイスを「完全に安全でないデバイス」として操作し、提出した取引情報が正確であることを自分で確認する必要があります。

小結

安全対策は問題への反応だけでなく、積極的な戦略的配置でもあると言えます。暗号資産の管理は、目の前のリスクに対処するだけでなく、長期的な安定した発展を確保するためのものです。日常の安全習慣を育成し、防護能力を徐々に強化し、各段階でリスクを予防することで、リスクを効果的に最小限に抑えることができます。