暗号資産ハッキング被害まとめ【2026年版】｜Bitget・Drift・KelpDAOなど主要事件と手口の変化

取引先やユーザーから「最近また大きなハッキングがあったようだけど、うちは大丈夫なのか」と聞かれる。そんな場面が、2026年は特に多かったのではないでしょうか。

実際、9月には大手取引所Bitgetで約620億円（3億8,750万ドル）が流出し、9月単月の被害は2026年で最悪の水準になりました。

ただ、ニュースは事件ごとの速報が中心で、1年を通して何が変わったのかは見えにくいもの。この記事では、2026年1〜9月の被害額と主要事件を一覧にし、手口の変化と対策を整理します。

この記事でわかること

• 2026年1〜9月の被害総額と、月別・手口別の内訳

• Bitget・Drift・KelpDAOなど主要事件の一覧

• 「コードの穴」から「人と運用」へ移った攻撃の傾向

• 日本の金融庁・警察庁の動きと、企業が今やるべき対策

結論：2026年は「人と運用」が狙われた年

ブロックチェーンセキュリティ企業CertiKの集計では、2026年上半期の被害が344件・約2,105億円（13.16億ドル）、7〜9月が247件・約2,016億円（12.6億ドル）でした。1〜9月を合わせると約4,122億円（約25.8億ドル）にのぼります。

数字以上に大きいのは、狙われ方の変化です。スマートコントラクトのバグを突く攻撃は件数こそ多いものの、被害額の中心ではありません。

• 最大の被害源：秘密鍵や署名の権限を持つ「人」と、その周辺の運用

• 長期化：半年がかりで信頼を築いてから実行する作戦が現れた

• 物理面：保有者を直接脅す「レンチ攻撃」が急増した

（出典：CertiK「Hack3d」2026年上半期レポート、第3四半期集計（2026年10月））

2026年の被害額（1〜9月）

まず全体像です。集計する機関によって数字は異なりますが、方向感は一致しています。

PeckShieldによると、9月は2026年で最悪の月でした。8月の約218億円（1.363億ドル）から約5.6倍に跳ね上がっており、Bitgetの流出がその半分を占めます。

上半期の手口別では、ウォレットの侵害が約711億円（4.445億ドル）、フィッシングが約586億円（3.663億ドル）でした。一方、コードの脆弱性は204件と件数は最多ながら、被害額は約243億円（1.516億ドル）にとどまります。

（出典：CertiK「Hack3d」2026年上半期レポート、Cointelegraph（2026年10月）。CertiKの第3四半期の数字は、のちに集計で小幅に上方修正されています）

2026年の主要事件一覧

被害額の大きい事件を時系列で並べます。数件の大型事件が全体の金額を押し上げているのが、2026年の特徴です。

なお9月のLiquid Networkは、Blockstreamが運営するビットコインのサイドチェーンです。2021年に被害を受けた日本の取引所Liquidとは別物なので、混同に注意してください。

（出典：各社の事後報告、CertiK、Elliptic、The Block、BleepingComputer、Blockstream（2026年4〜10月）。被害額は集計元によって差があります）

手口の変化1：信頼を築いてから奪う「長期潜伏型」

2026年を象徴するのが、4月のDrift事件です。攻撃者はクオンツ取引会社を名乗り、2025年秋から各国のカンファレンスで関係者に対面で接触を重ねました。

• 信頼の積み上げ：Telegramでグループを作り、Driftのボールトに約1.6億円（100万ドル）超を預けて実績を見せた

• 侵入の経路：コードリポジトリやテスト版の「ウォレットアプリ」を渡し、開発環境の脆弱性を突いて端末に入り込んだ

• 実行は一瞬：準備に約半年をかけ、資金の引き出しは短時間で終わった

Driftとセキュリティ団体SEAL 911は、北朝鮮系の攻撃グループの関与を「中〜高程度の確度」で評価しています。カンファレンスやBD（事業開発）の場そのものが、攻撃の入口になった事例です。

同じ流れは採用にも及んでいます。偽の採用面接でマルウェアを入れさせる手口について、警察庁は2026年9月に海外当局と共同で注意喚起を出しました（詳しくは北朝鮮の「偽の採用面接」攻撃の解説）。

手口の変化2：取引所とウォレットの「周辺」を突く

9月のBitget事件では、取引所そのものではなく、導入していた外部のセキュリティ機器2台のゼロデイ脆弱性が入口になりました。調査したSlowMistによると、最初の不審な活動は流出の約3週間前の8月31日です。

コールドウォレットは無事で、同社は約742億円（4.64億ドル）超のユーザー保護基金で損失を吸収し、利用者の残高に影響はないと説明したと報じられています。

ハードウェアウォレットでも、本体の外側で事故が起きました。

• Coldcard：2021年3月以降のファームウェアで、暗号用ではない乱数生成器が使われるビルドの誤りがあり、一部の条件で作ったシードが推測可能だった

• ソフトウェア部品：開発者向けのnpmパッケージに、秘密鍵を盗むコードが混入する事件が相次いだ

• Webサイト：2月には複数のDeFiサービスのドメインが乗っ取られ、資金を抜くスクリプトが仕込まれた

「自社のコードは監査済みだから安全」とは言い切れません。取引先の製品、ライブラリ、ドメイン管理まで含めて守る範囲です。

手口の変化3：保有者を直接狙う「レンチ攻撃」

オンラインの守りが固くなるほど、人そのものが狙われます。保有者を誘拐・脅迫して送金させる手口は、レンチ（工具）で殴れば暗号も解けるという皮肉から「レンチ攻撃」と呼ばれます。

CertiKによると、2026年上半期のレンチ攻撃は52件（前年同期比33%増）。被害額と身代金要求の合計は約199億円（1.241億ドル）で、前年同期の約17億円（1,050万ドル）から急増しました。

国別ではフランスが33件と突出しています。保有額をSNSで公開する、イベントで目立つといった行動が、現実のリスクにつながる時代です。

（出典：CertiK「Wrench Attacks H1 2026」、Chainalysis（2026年））

日本の状況：大型流出はないが、当局は体制を固めている

2025〜2026年に、日本の登録取引所で大型の流出は確認されていません。ただし2024年5月のDMM Bitcoinの流出（約482億円）以降、当局の動きは続いています。

• 金融庁（2026年4月）：全交換業者にサイバーセキュリティの自己評価を求め、一部には脅威ベースの侵入テストを実施する方針を公表

• 金融庁（2026年7月）：一部の交換業者で、顧客のIDとパスワードがフィッシングで盗まれ不正送金が起きたと説明

• 金融庁・警察庁（2026年8月6日）：入金・購入後の一定期間の出庫制限や、重要な操作でのフィッシングに強い多要素認証の必須化など、11項目を全交換業者に要請

利用者の側から見ると、出金に時間がかかる、認証の手順が増えるといった変化として表れます。サービスの案内でこの理由を丁寧に説明できるかどうかが、信頼を左右します。

（出典：金融庁「暗号資産交換業等におけるサイバーセキュリティ強化に向けた取組方針」（2026年4月3日）、金融庁・警察庁「暗号資産交換業者に対する要請」（2026年8月6日））

企業・プロジェクトが今やるべきこと

最後に、Web3事業を運営する企業やプロジェクトが優先したい対策です。技術だけでなく、運用と広報の準備が欠かせません。

1. 権限の棚卸し：署名権限、管理画面、ドメイン、SNSの管理者を一覧にし、使っていない権限を外す

2. 外部接点の点検：カンファレンスや採用で受け取ったファイル・アプリを業務端末で開かないルールを作る

3. サプライチェーンの確認：導入しているセキュリティ製品、ライブラリ、ハードウェアの更新状況を定期的に見る

4. 公式発信の防御：公式Xやコミュニティの乗っ取りに備え、ログイン手段を強化し、緊急時の告知先を決めておく

5. インシデント広報の準備：「何が起きたか・ユーザー資産への影響・次の連絡時刻」を出す雛形を用意する

事件のたびにユーザーが最初に見るのは、公式アカウントの発信です。最初の数時間の伝え方で、その後の評判は大きく変わります。

まとめ

2026年1〜9月の暗号資産ハッキング被害は約4,122億円（約25.8億ドル）。その中身は、次のように整理できます。

• 集中：Bitget、Liquid Network、KelpDAO、Driftなど上位数件で全体の大きな割合を占める

• 人と運用：ソーシャルエンジニアリング、外部製品、ハードウェアの不具合が主な入口

• 物理と国家：レンチ攻撃の急増と、北朝鮮系グループによる大型案件

守りを固めることは、そのままユーザーと取引先からの信頼になります。セキュリティを「技術部門の話」で終わらせず、発信と運用の設計に組み込むことが大切です。

株式会社Dawinは、北米・東南アジア・欧州など幅広い地域を対象に、海外向けのSNS・インフルエンサー（KOL）マーケティングを支援しています。なかでもWeb3関連事業のマーケティングでは国内トップレベルの実績があります。

「公式アカウントやコミュニティの運営体制を見直したい」「インシデント時の発信方針を整えたい」。そんなご相談も歓迎しています。

関連記事

• Web3プロジェクトの海外マーケティング支援（サービス案内）

• 公式Xアカウントの乗っ取りと仮想通貨詐欺｜企業・プロジェクトが今やるべき対策と発生時の広報

• 日本の暗号資産規制はこう変わった｜2026年改正金商法・分離課税20%・ステーブルコインの実務整理

• Web3マーケティングの失敗例7選——プロジェクトがつまずく典型パターンと回避策

• Web3コミュニティ運営代行の選び方——Discord/Telegram運営を外注する前に知るべきこと

• 暗号資産（仮想通貨）とは？企業担当者が最低限知っておきたい基礎知識