Zero-Time Technologyの月刊セキュリティイベントハイライトが始まります！複数のブロックチェーンセキュリティ監視プラットフォームの統計によると、2026年7月の暗号資産セキュリティ情勢は「攻撃経路が加速的にシフトし、オフチェーンインフラが新たな標的に」という特徴を示しました。**当月のセキュリティインシデントによる総損失額は約9,700万ドルで、そのうちハッカー攻撃とコントラクト脆弱性に関連する損失は約9,400万ドル、フィッシング攻撃による損失は約300万ドルでした。**プロトコル関連のセキュリティインシデントは合計14件以上発生し、6月の67件から減少したものの、1件あたりの損失額は顕著に増加しました。7月の総損失額は6月の8,173万ドルから前月比約18.7%増加し、クロスチェーンブリッジは依然として最大の被害領域であり、AFX Trade、Verus、B² Networkなど複数の攻撃が数時間のうちに集中発生し、合計損失額は3,500万ドルを超えました。攻撃経路は、スマートコントラクトのコード脆弱性から、オフチェーンインフラへの侵入、署名鍵の漏洩、ガバナンス投票の操作など、コード以外のレイヤーへの攻撃へと急速にシフトしています。
ハッカー攻撃
典型的なセキュリティインシデント7件
• Ostium オフチェーンオラクル権限への侵入
発生日時： 7月15日
損失額： 約2,375万ドル
インシデント概要： ArbitrumエコシステムのRWA永続取引プロトコルOstiumが攻撃を受け、攻撃者はオフチェーンの価格署名システム権限を取得し、BTC/USDの価格データを偽造、BTC価格を約5,000ドルに操作し、循環的なポジション開閉を通じてOLP流動性プールから約2,375万USDCを盗み出しました。公式は、今回のインシデントがスマートコントラクトの脆弱性やガバナンスマルチシグの侵害ではなく、オフチェーンの価格署名インフラへの侵入に起因することを確認しました。このインシデントはユーザー証拠金に影響を与えず、プロトコルは7月23日に取引を再開しました。
• AFX Trade クロスチェーンブリッジ検証鍵漏洩攻撃
発生日時： 7月22日
損失額： 約2,415万ドル
インシデント概要： Arbitrumエコシステムの分散型永続コントラクト取引所AFX Tradeが運営するクロスチェーンブリッジが攻撃を受けました。攻撃者は当該ブリッジのプライベート検証者署名鍵を取得し、それを悪用して引き出しを承認しました。スマートコントラクトは署名を検証し、設計通りに資金を解放したため、コントラクトレベルでの脆弱性はありませんでした。盗まれた約2,415万USDCはArbitrumからEthereumにクロスチェーン転送され、平均価格約1,937ドルで12,467.5ETHに交換され、単一のウォレットに集約されました。Arbitrumネイティブブリッジは影響を受けていません。AFXは攻撃を受けたクロスチェーンブリッジを停止し、資金回収のために攻撃者に30%の報奨金を提示しました。
• BonkDAO ガバナンス投票操作・権限管理脆弱性攻撃
発生日時： 7月6日
損失額： 約2,000万ドル
インシデント概要： 攻撃者は約400万ドルを費やして十分な量のBONKトークンを購入し、Solana Realmsガバナンスプラットフォームが投票率わずか1%で提案を通過できる仕組みを悪用し、悪意のある提案を提出・可決させました。攻撃者は7月6日の提案可決後、BonkDAOのトレジャリーから約44.26億BONK（約2,000万ドル）を引き出しました。全過程においてスマートコントラクトの不具合はなく、脆弱性はコントラクトコードではなく、ガバナンスルールの設計そのものにありました。Immunefiは、これこそが2026年に最も深刻な損失をもたらすインシデントの典型的な形態であり、資金はコントラクトの欠陥からではなく、ガバナンス投票とルール設計から流出していると指摘しています。
• Bonzo Lend オラクル操作攻撃
発生日時： 7月11日
損失額： 約905万ドル
インシデント概要： Hederaエコシステム最大のレンディングプロトコルBonzo Lendがオラクル操作攻撃を受けました。攻撃者はサードパーティのオラクルプロバイダーSupraの署名検証の脆弱性を悪用し、操作されたSAUCEトークン価格をプロトコルに注入しました。攻撃者は担保価値を人為的につり上げ、オラクルが修正される前に担保価値を大幅に上回る資産を借り出し、約905万ドルの損失をもたらしました。プロトコルは全活動を停止し、Bonzo LabsとBonzo Finance財団が復旧と補償対応を調整しています。
• Verus-Ethereum クロスチェーンブリッジ二次攻撃
発生日時： 7月23日
損失額： 約755万ドル
インシデント概要： Verus-Ethereumクロスチェーンブリッジが再び攻撃を受け、約755万ドルの損失が発生しました。今回の攻撃は、5月の攻撃と同じコントラクト経路と脆弱性カテゴリを使用しており、未修正の欠陥と再預入された資金によってシステムがいかに二次攻撃に対して脆弱になるかを浮き彫りにしました。この脆弱性はクロスチェーンブリッジの検証バイパスに分類され、攻撃者は同一のエントリーパスを通じて資金の盗難を完了しました。
• B² Network ステーキングコントラクトアップグレード権限攻撃
発生日時： 7月23日
損失額： 約386万ドル
インシデント概要： BNB Chain上のB² Networkのステーキングコントラクトのアップグレード権限が攻撃者に奪取され、約859.1万B2トークン（約386万ドル）の損失が発生しました。攻撃者はそれを5,409WBNB（約311万ドル）に交換した後、Ethereumにクロスチェーン転送し、現在NEAR Intentsを通じて資金をZcashに移転中です。このインシデントは、侵害された鍵と権限が、暗号技術そのものではなく、依然として大規模な暗号資産盗難の主因であることを浮き彫りにしています。チームはステーキング機能を停止し、オンチェーンで攻撃者に対し、24時間以内に盗まれた資金の少なくとも10%を返還すれば法的措置を開始しないと連絡しました。
• Summer.fi ボールト設定脆弱性攻撃
発生日時： 7月6日
損失額： 約604万ドル
インシデント概要： Ethereum DeFiイールドプロトコルSummer.fiのFleetCommanderボールトが攻撃を受けました。脆弱性の根本原因は、totalAssets()の計算時に、既に入金上限が設定され、オフライン準備中でありながらアクティブセットからまだ削除されていない戦略コンポーネントを計算に含めていたことでした。攻撃者はこの計算のずれを悪用して資産を蓄積し、過剰な利回りを引き出しました。Summer.fiは旧Oasis.appで、2019年にMakerDAOユーザー向けにローンチされ、2026年初頭にAI駆動の自動イールド最適化レイヤーへと転換しました。
ラグプル / フィッシング詐欺
典型的なセキュリティインシデント4件
(1) 7月9日、0x8c94で始まるアドレスの被害者がEthereum上でフィッシングトークン承認に署名し、99万9,999ドル相当のUSDTを失いました。
(2) 7月24日、0x3e1bで始まるアドレスの被害者がEthereum上のフィッシングマルチコールにより34万463ドルを失いました。
タイムライン：
06:51:47 UTC — 被害者がalphaUSDCDeltaV2トークンコントラクト上でmulticall()に署名。その中には無制限承認のapprove()が埋め込まれていました。
06:52:23 UTC — 36秒後、33万2,787alphaUSDCDeltaV2（約34万ドル）がtransferFromによって流出させられました。
(3) SecondFiを模倣した偽モバイルアプリフィッシング攻撃
損失額： 約1,420万ドル
インシデントの性質： 7月12日、グローバルな暗号セキュリティ監視プラットフォームが3件の高リスク暗号資産攻撃インシデントを開示しました。1つ目はSecondFiを模倣した偽モバイルアプリによるフィッシング攻撃で、開発者層を標的としました。3件の攻撃は24時間以内に集中発生し、開発者、一般個人投資家、高純資産クジラの3つのターゲット層をカバーし、Web3エコシステムの全チェーンにわたるセキュリティ上の弱点を露呈させました。
(4) Ledger 物理郵便物フィッシング詐欺
損失額： 約96万ドル
事件の性質： 7 月 3 日から 7 日にかけて（集中的に発生）、詐欺グループは偽造した Ledger 公式の物理的な手紙をユーザーの自宅住所へ郵送しました。手紙には公式ロゴ、CTO の署名、そしてポスト量子暗号に関するセキュリティアップデートの説明が記載されており、QR コードをスキャンさせて精巧なフィッシングサイトへ誘導し、シードフレーズ（助記詞）を入力させることでウォレット資産を盗み取りました。クイーンズランド警察の確認によると、7 月 3 日から 7 日までの間だけで、被害者から報告された総損失額は 147 万オーストラリアドルを超えています。警察は、Ledger 公式が手紙や電話でシードフレーズを要求することは決してないと注意喚起しています。
まとめ
2026年7月のブロックチェーンセキュリティインシデントの中核的な特徴は、攻撃経路の移行、クロスチェーンブリッジの継続的な陥落、ガバナンス面の脆弱性の顕在化という3つのキーワードに集約される。
攻撃経路には明らかな移行が見られ、オフチェーンインフラへの侵入、署名鍵の漏洩、ガバナンス投票の操作といった非コード層の攻撃手法の割合が急増している。AFX Tradeのインシデントでは、攻撃者は署名鍵を入手するだけで2415万ドルの引き出しを完了し、Ostiumのインシデントでは、オフチェーン権限管理にオンチェーンのマルチシグと同等の防御策が欠如していることが露呈した。BonkDAOのインシデントは、ガバナンス投票メカニズム自体が攻撃の侵入口になり得ることを示している。
フィッシング詐欺の面では、今月の多くの攻撃が「知名度の高いアカウントの侵害＋偽トークンプロモーション」という新たなパターンを示しており、ブランドへの信頼が直接的に詐欺の道具へと転用され、承認型フィッシングは単発の詐欺から複製可能な自動化された資金窃取プロセスへと進化している。
零時科技セキュリティチームからの提言：
• 個人： Xプラットフォーム上での突発的な「公式」トークンプロモーションに警戒する。不審なリンクのクリックや署名リクエストを行わない。定期的にウォレットの承認を取り消す。高額資産は独立したウォレットを使用してリスクを隔離する。
• プロジェクト側： オフチェーンインフラの権限管理は、オンチェーンのマルチシグと同等のセキュリティ基準を適用する。バリデータキーはマルチシグ＋ハードウェア署名を使用する。ガバナンス提案にはより高い投票閾値とタイムロックを設定する。24時間365日の監視体制とサーキットブレーカーを確立する。監査は鍵の保管、権限、ガバナンスルールの全チェーンを網羅する。
• 業界： クロスチェーンブリッジの鍵管理に関する業界標準を確立する。オフチェーンインフラのセキュリティ監査の標準化を推進する。APT脅威インテリジェンスの共有とブラックリストデータベースの構築を強化する。プロジェクト側へのバグバウンティプログラムの導入を推奨する。
