CertiK発表：H1 2026のWeb3損失が13.1億ドル超、Bybit除外でも28%増

ブロックチェーンセキュリティ企業のCertiKが月曜日に発表した「Hack3D H1 2026 Report」によると、2026年上半期（1月〜6月）にWeb3業界が被ったセキュリティ損失は13億1000万ドルを超えた。344件の事件が記録され、凍結・回復された資金を差し引いた純損失は約12億ドルに達した。とりわけ注目すべきは、2025年のBybit大型事件をベースラインとして除外しても、損失額が前年同期比で28%増加した点である。

事件の概要：何が起きたのか

CertiKの報告書は、2026年1月から6月までに発生したブロックチェーン関連のセキュリティ事件を体系的に集計したものだ。対象となる事件は合計344件、その中にはスマートコントラクトの脆弱性悪用、ブリッジ攻撃、フィッシング、プライベートキー漏洩、ラグプルなど多岐にわたる手口が含まれる。総損失額は13億1000万ドルを記録し、一部資金の凍結・回復により純損失は約12億ドルとなった。

報告書では、単一の超大規模事件に依存せずとも損失が拡大している構造的な傾向が指摘されている。2025年に発生したBybit事件を基準線として除外した比較でも28%の増加を示しており、業界全体のリスク水位が底上げされていることを裏付けている。

攻撃手口の主な傾向

CertiKの集計によれば、上半期で特に目立った攻撃ベクトルは以下の通りである。

• ブリッジおよびクロスチェーンプロトコル：複数チェーン間の資産移転を担うブリッジは依然として最大の攻撃対象であり、一度の侵害で巨額の資金が流出する傾向がある。
• スマートコントラクトの論理的欠陥：監査を通過していても運用開始後に発覚する論理バグが、予期せぬ資金抽出を可能にする事例が相次いだ。
• フィッシングと署名詐欺：ユーザーを偽サイトへ誘導し、不正なトランザクションに署名させる手口が頻発。個人のウォレット権限を奪う事例が増加している。
• 内部犯行とアクセス制御の不備：プライベートキーや管理者権限の管理が不十分なプロジェクトで、権限奪取による流出が確認された。

NEARなどLayer2エコシステムへの影響

今回の報告で影響を受けた資産の一つとしてNEARが挙げられている。NEAR ProtocolをはじめとするLayer2・スケーリングエコシステムでは、ブリッジやロールアップの検証メカニズムが攻撃の標的になりやすい。クロスチェーン通信は複数の独立したコンポーネントが連携するため、一部の検証ロジックに不備があれば全体の安全性が損なわれる。

特に、Layer2ブリッジは流動性が集中する構造上、攻撃者にとって極めて魅力的な標的となっている。一度の成功で数千万ドル規模の資金を奪取できるため、セキュリティ監査の継続的な実施と、緊急時の資金凍結メカニズムの整備が不可欠だ。NEARエコシステムのプロジェクト開発者は、サードパーティ監査の定期受託とバグバウンティプログラムの拡充を急ぐ必要がある。

なぜ損失は拡大し続けるのか

28%という増加率の背景には、複数の要因が複合的に作用している。第一に、Web3エコシステム全体の資産規模が拡大し、攻撃者が狙える「賞金」が増大したこと。第二に、マルチチェーン化が進む中でブリッジやクロスチェーンプロトコルの数が増え、攻撃対象が分散・拡大したこと。第三に、攻撃ツールの高度化により、かつては高度な技術力を要した攻撃が自動化・効率化されていること。

さらに、新しいプロトコルが市場の競争圧力から十分な監査を経ずにローンチされるケースも後を絶たない。スピードを優先する開発文化が、結果としてセキュリティ負債を蓄積している構造だ。

業界の対応と今後の展望

損失拡大を受け、主要プロジェクトや取引所は対応を強化している。リアルタイムの脅威監視システムの導入、複数社による重複監査、タイムロック付きのアップグレード機構、そして保険プールの拡充などが進む。CertiKのような専門企業は、継続的な監視と事後分析を通じて業界全体の防御力向上に寄与している。

ただし、技術的対策だけでは不十分だ。ユーザー自身の意識向上も重要であり、フィッシングに対する警戒、未審査プロトコルへの接続回避、署名内容の確認習慣化が求められる。特に日本のユーザーは、海外発の新プロトコルを利用する際、情報の真偽を複数のソースで確認することが推奨される。

投資家が取るべき具体的対策

セキュリティリスクの高まりを踏まえ、投資家は以下の対策を実践したい。

• 資産の大部分はハードウェアウォレットで管理し、取引所には取引に必要な分のみ預ける。
• 利用するプロトコルが第三者監査を受けているか確認し、監査レポートを実際に読む習慣をつける。
• 未知のリンクをクリックせず、署名を求められた際は必ず内容を検証する。
• 信頼性の高い取引所を利用し、セキュリティ機能（2要素認証、引き出しアドレスホワイトリスト）を有効化する。

セキュリティは「一度の設定」ではなく「継続的な習慣」である。2026年上半期のデータは、その重要性を改めて浮き彫りにした。