執筆：ゼロタイムテクノロジー
複数のブロックチェーンセキュリティ監視プラットフォームの統計によると、2026年7月の暗号資産分野におけるセキュリティ状況は「攻撃経路の迅速な移行、オフチェーンインフラが新たな標的となる」特徴を示した。当月のセキュリティイベントによる総損失は約9700万ドルで、そのうちハッカー攻撃およびスマートコントラクトの脆弱性に関連する損失は約9400万ドル、フィッシング攻撃による損失は約300万ドルであった。プロトコル関連のセキュリティイベントは14件以上発生し、6月の67件から減少したが、1件あたりの損失額は顕著に増加した。7月の総損失は6月の8173万ドルに対して約18.7%増加し、クロスチェーンブリッジは依然として被害が集中する分野であった。AFX Trade、Verus、B² Networkなど複数の攻撃が数時間以内に集中して発生し、合計で3500万ドル以上の損失を出した。攻撃経路は、スマートコントラクトコードの脆弱性から、オフチェーンインフラへの侵入、署名キーの漏洩、ガバナンス投票の操作など、コード以外の層への攻撃へと急速に移行している。
ハッキング攻撃に関する
典型的なセキュリティイベント 7 件
Ostium オフチェーンオラクルの権限侵害
日時：7月15日
損失額：約2375万ドル
事件の詳細：ArbitrumエコシステムのRWA永続取引プロトコルOstiumが攻撃を受け、攻撃者がオフチェーン価格署名システムの権限を取得し、BTC/USDの価格データを偽造してBTC価格を約5,000ドルまで操作。その後、循環的なポジション開設と決済を通じてOLP流動性プールから約2,375万USDCを盗み取った。公式発表によると、本件はスマートコントラクトの脆弱性やガバナンスマルチシグの侵害ではなく、オフチェーン価格署名インフラの侵入が原因である。ユーザーの証拠金には影響がなく、プロトコルは7月23日に取引を再開した。
AFX Trade クロスチェーンブリッジ検証キー漏洩攻撃
日時：7月22日
損失額：約2415万ドル
事件の詳細：Arbitrumエコシステムのデセントラライズド永続契約取引所AFX Tradeが運営するクロスチェーンブリッジが攻撃を受けました。攻撃者は、このブリッジのプライベートバリデータ署名キーを取得し、その権限を利用して引き出しを実行しました。スマートコントラクトは署名を検証し、設計通りに資金を解放したため、コントラクト自体に脆弱性は存在しませんでした。約2,415万枚のUSDCがArbitrumからイーサリアムへクロスチェーン転送され、平均約1,937ドルで12,467.5枚のETHに交換され、単一のウォレットに集約されました。Arbitrumネイティブブリッジは影響を受けませんでした。AFXは攻撃されたクロスチェーンブリッジを一時停止し、資金の回収のために攻撃者に30%の報奨金を提示しました。
BonkDAO ガバナンス投票操作攻撃権管理脆弱性攻撃
時間：7月6日
損失額：約2,000万ドル
事件の詳細：攻撃者は約400万ドルを費やして十分な数のBONKトークンを購入し、Solana Realmsガバナンスプラットフォームの1%の投票率で提案を可決できる仕組みを悪用して悪意のある提案を提出・可決した。攻撃者は7月6日の提案可決後、BonkDAOの財庫から約44.26億枚のBONK（約2000万ドル）を移動した。このプロセス全体でスマートコントラクトに不具合は発生せず、脆弱性はコントラクトコードではなく、ガバナンスルールの設計そのものにあった。Immunefiは、これが2026年で最大の損失事件の典型例であると指摘している——資金はコントラクトの欠陥ではなく、ガバナンス投票やルール設計から失われた。
Bonzo Lend プレディクションマシンの操作攻撃
日時：7月11日
損失額：約905万ドル
イベントの詳細：Hederaエコシステム最大の貸出プロトコル「Bonzo Lend」がオラクル操作攻撃を受けました。攻撃者は、サードパーティオラクルプロバイダー「Supra」の署名検証の脆弱性を悪用し、操作されたSAUCEトークンの価格をプロトコルに注入しました。攻撃者は、抵押品価値を人為的に引き上げ、オラクルが修正される前に抵押品価値を大幅に上回る資産を貸し出し、約905万ドルの損失を発生させました。プロトコルはすべての活動を一時停止しており、Bonzo LabsとBonzo Finance財団は復旧および対応作業を協調しています。
Verus - Ethereumクロスチェーンブリッジの二次攻撃
日時：7月23日
損失額：約755万ドル
イベントの詳細：Verus – エーテリアムクロスチェーンブリッジが再び攻撃を受け、約755万ドルの損失が発生。今回の攻撃は5月の攻撃と同じコントラクトパスと脆弱性カテゴリを用いており、修正されていない欠陥と再投入された資金がシステムを二次攻撃に脆弱にしていることを示している。この脆弱性はクロスチェーンブリッジの検証回避タイプであり、攻撃者は同じ入口パスを通じて資金を盗み取った。
B²ネットワークのステーキング契約の権限攻撃
日時：7月23日
損失額：約386万ドル
イベントの詳細：BNB Chain上のB² Networkのステーキング契約のアップグレード権限が攻撃者に奪われ、約859.1万枚のB2トークン（約386万ドル）が損失した。攻撃者はこれを5,409枚のWBNB（約311万ドル）に交換し、イーサリアムへクロスチェーン転送した後、現在NEAR Intentsを介して資金をZcashへ移動させている。この事件は、暗号技術そのものではなく、侵害された鍵や権限が大規模な暗号通貨盗難の主な原因であることを浮き彫りにした。チームはステーキング機能を一時停止し、チェーン上で攻撃者に連絡し、24時間以内に盗まれた資金の少なくとも10%を返還すれば、法的措置を取らないと表明した。
Summer.fiのウォレット設定脆弱性による攻撃
時間：7月6日
損失額：約604万ドル
イベントの詳細：イーサリアムのDeFi収益プロトコルSummer.fiのFleetCommanderウォレットが攻撃を受けた。脆弱性の根源は、totalAssets()を計算する際に、預金上限が設定され、退役準備中だがアクティブなリストから削除されていない戦略コンポーネントを依然として含んでいたことにある。攻撃者はこの計算のずれを利用して資産を蓄積し、過剰な収益を引き出した。Summer.fiはもともとOasis.appとして2019年にMakerDAOユーザー向けにリリースされ、2026年初頭にAI駆動の自動収益最適化レイヤーへと転換した。
ラグプル／フィッシング詐欺
典型的なセキュリティイベント 4 件
(1) 7月9日、0x8c94で始まるアドレスの被害者がイーサリアム上でフィッシングトークンの承認を署名し、999,999ドル相当のUSDTを損失しました。
(2) 7月24日、0x3e1bで始まるアドレスの被害者は、イーサリアム上のフィッシングマルチコールにより340,463ドルを損失しました。
タイムライン：
06:51:47 UTC — 被害者がalphaUSDCDeltaV2トークン契約上でmulticall（）に署名。その中に無制限の許可approve（）が埋め込まれていました。
06:52:23 UTC — 36秒後、332,787 alphaUSDCDeltaV2（〜$340K）がtransferFromによって消費されました。
(3) 仿冒SecondFiの偽モバイルアプリによるフィッシング攻撃
損失額：約1,420万ドル
事件の性質：7月12日、グローバルな暗号資産セキュリティ監視プラットフォームが、3件の高危険度の暗号資産攻撃を公表。そのうち1件は、SecondFiを模倣した偽のモバイルアプリによるフィッシング攻撃で、開発者層を標的とした。この3件の攻撃は24時間以内に集中して発生し、開発者、一般個人投資家、高資産巨額保有者という3つのターゲットをカバーし、Web3エコシステム全体のセキュリティ上の弱点を露呈した。
(4) リジャード実体手紙のフィッシング詐欺
損失額：約96万ドル
事件の性質：7月3日から7日（集中発生）の期間、詐欺集団がユーザーの住所に偽造されたLedger公式の紙の手紙を郵送し、公式ロゴ、CTOの署名、後量子暗号学的安全更新の説明を記載して、QRコードをスキャンさせ高仿製のフィッシングサイトに誘導し、メンションコードを入力させてウォレット資産を盗み取った。クイーンズランド警察は、7月3日から7日までの期間だけで、被害者が報告した総損失額が147万オーストラリアドルを超えたことを確認した。警察は、Ledger公式は手紙や電話でメンションコードを要求することはないとの注意を呼びかけている。
要約
2026年7月のブロックチェーンセキュリティイベントの核心的特徴は、以下の3つのキーワードで要約できる：攻撃経路の移行、クロスチェーンブリッジの継続的な脆弱性、ガバナンス層の脆弱性の顕在化。
攻撃経路は明確に移行している：チェーン外インフラの侵入、署名キーの漏洩、ガバナンス投票の操作など、コード以外の攻撃手法の割合が急激に上昇している。AFX Trade イベントでは、攻撃者が署名キーを取得するだけで2,415万ドルの引き出しを実行した。Ostium イベントでは、チェーン外の権限管理がチェーン上のマルチシグと同等の保護メカニズムを欠いていることが露呈した。BonkDAO イベントでは、ガバナンス投票メカニズム自体が攻撃の入口となり得ることが示された。
今月、フィッシング詐欺では「高知名度アカウントの侵入＋偽トークンの宣伝」という新しいパターンが複数発生しており、ブランドへの信頼が直接詐欺ツールとして利用されています。認証型フィッシングは一回限りの詐欺から、繰り返し可能な自動化された資金盗難プロセスへと進化しています。
ゼロ時テクノロジー セキュリティチームの推奨：
- 個人ユーザー：Xプラットフォームでの突然の「公式」トークンプロモーションに注意してください。不明なリンクや署名リクエストはクリックしないでください。ウォレットの承認を定期的に取り消してください。高価値資産は独立したウォレットで隔離してリスクを軽減してください。
- プロジェクト側：オフチェーンインフラのアクセス管理は、オンチェーンマルチシグと同等のセキュリティ基準を満たす必要がある；バリデーター鍵はマルチシグ＋ハードウェア署名を使用する；ガバナンス提案にはより高い投票门槛とタイムロックを設定する；7×24時間監視とサーキットブレーカー機構を構築する；監査は鍵の保管、アクセス権限、ガバナンスルールの全フローをカバーする。
- 業界：クロスチェーンブリッジの鍵管理に関する業界標準を確立する；オフチェーンインフラのセキュリティ監査を規範化する；APT脅威インテリジェンスの共有とブラックリストデータベースの強化を推進する；プロジェクト側にバグバウンティプランの導入を提案する。