2026年7月 暗号資産セキュリティレポート：被害総額9,700万ドル、クロスチェーン・ブリッジ攻撃が急増

Zero Hour Techが月次のセキュリティ事故サマリーを公表した。複数のブロックチェーン・セキュリティ監視プラットフォームの集計によると、2026年7月の暗号資産業界では"攻撃手法の転換が加速し、オフチェーン基盤が新たな焦点になった"ことが特徴とされる。 7月のセキュリティ事故による損失は約9,700万ドル。内訳は、ハッカー攻撃およびスマートコントラクト関連が9,400万ドル、フィッシングが300万ドルだった。プロトコル関連の事故は14件超と、6月の67件から大幅に減少した一方、1件当たりの平均損失は大きく上昇。総損失は6月の8,173万ドルから前月比約18.7%増となった。 標的は引き続きクロスチェーン・ブリッジに集中。AFX Trade、Verus、B² Networkなどへの攻撃が数時間単位で相次ぎ、合計被害は3,500万ドル超に達した。攻撃ベクトルはスマートコントラクトのコード欠陥中心から、オフチェーン基盤の侵害、署名鍵の露出、ガバナンス投票の操作といった"非コード型"へ急速にシフトしている。 【ハッカー攻撃：代表的な7件】 ・Ostium（オフチェーン・オラクル権限の侵害） 発生：7月15日／被害：約2,375万ドル ArbitrumエコシステムのRWA無期限取引プロトコルOstiumが攻撃を受けた。攻撃者はオフチェーンの価格署名システムにアクセスし、BTC/USD価格データを偽造。BTC価格を約5,000ドルまで操作した上で、ポジションの反復的な建玉・解消を通じてOLP流動性プールから約2,375万USDCを流出させた。運営は、スマートコントラクトの脆弱性やガバナンスのマルチシグ侵害ではなく、オフチェーン価格署名基盤の侵害が原因と説明。ユーザーの証拠金への影響はなく、取引は7月23日に再開した。 ・AFX Trade（クロスチェーン・ブリッジ検証鍵の侵害） 発生：7月22日／被害：約2,415万ドル Arbitrum上の分散型無期限先物取引所AFX Tradeが運用するクロスチェーン・ブリッジが侵害された。攻撃者がブリッジのバリデータノードの秘密署名鍵を取得し、出金を正当な署名として承認させた。スマートコントラクトは仕様通り署名検証を行い資金を解放したため、コントラクト側の脆弱性は確認されていない。約2,415万USDCがArbitrumからEthereumへブリッジされ、平均1,937ドルで12,467.5 ETHに交換された後、単一ウォレットに集約された。Arbitrumのネイティブブリッジは無事。AFXは当該ブリッジを停止し、流出資金回収に向け攻撃者へ30%のバウンティを提示した。 ・BonkDAO（アクセス制御欠陥を突いたガバナンス投票操作） 発生：7月6日／被害：約2,000万ドル 攻撃者は約400万ドルを投じてBONKを必要量購入し、Solana Realmsのガバナンス機構における"1%の投票閾値で提案が可決され得る"仕組みを悪用。悪性提案を提出して成立させ、7月6日の承認後にBonkDAOトレジャリーから約442.6億BONK（約2,000万ドル）を移転した。スマートコントラクトの欠陥ではなく、ガバナンス規則設計の問題が原因とされる。Immunefiは"2026年に多い最悪型"として、コントラクト欠陥ではなく投票とルール設計を通じて資金が失われた典型例だと指摘した。 ・Bonzo Lend（オラクル操作） 発生：7月11日／被害：約905万ドル Hedera最大のレンディングプロトコルBonzo Lendがオラクル操作を受けた。第三者オラクル提供元Supraの署名検証の脆弱性を突き、SAUCEトークンの価格データを改ざんして担保価値を水増し。オラクルが修正される前に実態を上回る借入を行い、約905万ドルの損失につながった。プロトコルは全機能を停止し、Bonzo LabsとBonzo Finance Foundationが復旧・是正対応を進めている。 ・Verus（Ethereumクロスチェーン・ブリッジ、2度目の攻撃） 発生：7月23日／被害：約755万ドル VerusとEthereum間のクロスチェーン・ブリッジが再び攻撃を受け、約755万ドルが流出。5月の攻撃と同じコントラクト経路および同種の脆弱性が悪用されたとされ、未修正の欠陥や再入金された資金が二次被害を招き得る点を浮き彫りにした。分類はクロスチェーン・ブリッジの検証バイパスで、同一の侵入口から資金が奪取された。 ・B² Network（ステーキング契約のアップグレード権限侵害） 発生：7月23日／被害：約386万ドル BNB Chain上のB² Networkで、攻撃者がステーキングコントラクトのアップグレード権限を掌握し、約859.1万B2（約386万ドル）が失われた。攻撃者はトークンを5,409 WBNB（約311万ドル）に交換しEthereumへブリッジ、その後NEAR Intentsを用いてZcashへ移転しているとされる。本件は暗号技術そのものよりも、鍵・権限の侵害が大型盗難の主因であることを示す。チームはステーキングを停止し、オンチェーンで攻撃者へ連絡。24時間以内に盗難資金の少なくとも10%が返還されれば法的措置を取らないと表明した。 ・Summer.fi（Vault設定に起因する脆弱性） 発生：7月6日／被害：約604万ドル EthereumのDeFiイールドプロトコルSummer.fiのFleetCommander Vaultが侵害された。totalAssets()の算出に、入金上限が設定され停止予定ながらアクティブプールから未除外の戦略コンポーネントが含まれていたことが原因。攻撃者はこの計算差分を悪用し、資産を積み上げて過大な利回りを引き出した。Summer.fi（旧Oasis.app）は2019年にMakerDAOユーザー向けに開始され、2026年初頭にAI駆動の自動最適化レイヤーへ移行している。 【ラグプル／フィッシング：代表的な4件】 (1) 7月9日：Ethereum上で0x8c94で始まるアドレスの被害者がフィッシングのトークン承認に署名し、USDT 999,999ドルを失った。 (2) 7月24日：Ethereum上で0x3e1bで始まるアドレスの被害者がフィッシングのmulticallで340,463ドルの損失。 タイムライン： 06:51:47 UTC — 被害者がalphaUSDCDeltaV2トークンコントラクトのmulticall()に署名（無制限のapprove()を含む）。 06:52:23 UTC — 36秒後、transferFromで332,787 alphaUSDCDeltaV2（約34万ドル）が流出。 (3) SecondFiを装う偽モバイルアプリを用いたフィッシング 被害：約1,420万ドル 7月12日、グローバルの暗号資産セキュリティ監視プラットフォームが、暗号資産を狙う重大度の高い攻撃3件を公表。その1つがSecondFiになりすました偽アプリ経由のフィッシングで、主に開発者が標的とされた。3件はいずれも24時間以内に発生し、開発者、個人投資家、高額資産保有者に波及。Web3全体にわたる構造的な脆弱性が示唆された。 (4) Ledgerを装った郵送型フィッシング 被害：約96万ドル 7月3日〜7日（ピーク期間）にかけ、詐欺グループがLedgerの"公式"を装う偽造書簡をユーザー住所へ郵送。書簡にはLedgerのロゴ、CTO名義の署名、耐量子暗号に関するセキュリティ更新の説明が盛り込まれ、QRコードから精巧な偽サイトへ誘導し、リカバリーフレーズ入力をだまし取ってウォレット資産を奪った。クイーンズランド州警察は、この期間だけで被害申告がAUD 147万超に上ったと確認。当局は、Ledgerが郵送や電話でリカバリーフレーズを求めることはないと注意喚起している。 【総括】 2026年7月のブロックチェーン・セキュリティ事故は、"攻撃手法の転換""クロスチェーン・ブリッジ侵害の継続""ガバナンス脆弱性の高まり"の3点に集約される。攻撃面は大きく変化し、オフチェーン基盤の侵害、署名鍵の漏えい、投票操作といった非コード型手法が急増した。 AFX Tradeでは署名鍵の取得だけで2,415万ドルが引き出され、Ostiumはオフチェーンのアクセス制御がオンチェーンのマルチシグに匹敵する防御を欠く実態を示した。BonkDAOはガバナンス投票そのものが攻撃の入口になり得ることを証明した。 フィッシングについては、"著名アカウントの乗っ取り＋偽トークン拡散"という新しい定番パターンが目立ち、ブランドへの信頼が詐欺の武器として転用されている。承認（approve）型フィッシングは単発の手口から、再現可能で自動化された資金窃取プロセスへ進化した。 【Zero Time Technology Security Teamの提言】 ・個人：Platform Xで突発的に出回る"公式"トークン告知に警戒。未知のリンクを踏まない、署名要求に応じない。ウォレット承認を定期的に解除。高額資産はウォレットを分離してリスクを隔離。 ・プロジェクト：オフチェーン基盤のアクセス制御をオンチェーン・マルチシグ同等の基準へ。バリデータ鍵はマルチシグ＋ハードウェア署名を採用。ガバナンス提案は投票閾値とタイムロックを引き上げ。24時間監視とサーキットブレーカーを整備。監査対象を鍵保管、権限設計、ガバナンスルールまで含む全体工程へ拡張。 ・業界：クロスチェーン・ブリッジの鍵管理に関する業界標準を整備。オフチェーン基盤のセキュリティ監査の標準化を推進。APT脅威インテリジェンス共有とブラックリストDBの拡充を強化。バグバウンティ導入を推奨。