暗号資産セキュリティレポート：2026年8月

Each月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。詳細は以下をご覧ください。まずは…

注目のSTEMパイオニア：デジタルプライバシーとサイバーセキュリティの先駆者、Willis Ware

Willis Wareは、デジタルプライバシーとサイバーセキュリティの分野で道を切り開いた人物です。彼は「20世紀後半に現代のコンピューターの設計図となるIASマシンを共同開発し」、アメリカ情報処理学会連合を設立しました。

MetaMaskのデリゲーションアーキテクチャ、CoinFello・Clawnch・Revoke.cashの統合で実証

今月、MetaMaskのデリゲーションアーキテクチャが3つのユニークなユースケースで実証されました。CoinFelloは、Smart Accounts KitのERC-7710デリゲーションを使用して、DeFi向けのセルフカストディAIエージェントを構築しました。これにより、署名鍵はエージェントのランタイムではなくデバイスのセキュアエンクレーブに保管され、プロンプトインジェクションや依存関係の侵害があっても鍵に到達できない仕組みになっています。

Clawnchはこのモデルをさらに発展させ、実際のトレーディング手数料を獲得するエージェントが、エージェント自身の判断を信頼するのではなく、コントラクトで強制されたcaveats（制約）の範囲内でその収益を使用するよう設計しました。アクションがデリゲーションの範囲外であれば、トランザクションは事後ではなくコントラクトレベルでリバートされます。このセキュリティファーストのモデルこそが、Agent Walletが盲目的なデリゲーションではなくルールを中心に構築されている理由です。エージェントは行動できますが、ユーザーが設定した境界の中でのみ行動します。

エージェントに関する不安を解消するためのさらなる保証として、開発者リレーションズ責任者のFrancesco Andreolicによるこちらの見解をご覧ください。自動化とセルフカストディは相互に排他的であるという誤解を解いています。

エージェントの話題を超えて、Revoke.cashはMetaMaskのSmart Accounts Kitを使用してAuto-Revoking（自動失効）機能を開始しました。ユーザーの鍵を一切保持することなく、ERC-7715パーミッションを使用してスケジュールに従ってリスクのあるトークン承認を定期的にクリーンアップします。これら3つの統合をまとめると、私たちが繰り返し立ち返る原則が浮かび上がります。それは、権限はスコープが限定され、時間的に制限され、アプリケーションやエージェントによる約束ではなくオンチェーンで強制されるべきだということです。これが「信頼してください」と「コントラクトが他の行動を許可しない」の違いであり、より多くのパートナーがセルフカストディウォレットに自動化を導入するにつれて、私たちが構築し続けるデザインパターンです。

ConsenysのセキュリティエンジニアHerman Jungeが、ハーバード・ケネディスクールのサイバーセキュリティコースから得た知見を共有

ConsenysのセキュリティプロフェッショナルであるHerman Jungeが、ハーバード・ケネディスクールのサイバーセキュリティポリシーに関するエグゼクティブコースから得た知見を共有しています。攻撃者と防御者の双方にとって力の乗数となるAI、現代のデジタル生活が依存するインフラの脆弱性、そして戦争の閾値以下のグレーゾーンで展開されるサイバー紛争について触れています。彼は、セキュリティは最終的にコミュニケーションの成否にかかっているという観察で締めくくっています。技術的なリスクは、予算と意思決定権を持つ人々にとって理解可能なものにしなければ、実質的に存在しないも同然だということです。

Trezorの配送業者の侵害により、7カ国の12,000人の顧客の氏名と住所が流出

Trezorは最近、配送業者の1社がデータ侵害を受け、2026年8月8日以前の90日間に配送を受けた顧客の注文データが流出したことを公表しました。影響を受けた国は米国、英国、スウェーデン、コロンビア、ブラジル、イタリア、ポルトガルです。約12,000人の顧客の氏名、配送先住所、電話番号、メールアドレスが流出しましたが、ウォレット、資金、ファームウェアは影響を受けておらず、Trezorの厳格な90日間のデータ保持ポリシーにより、リスクにさらされたデータ量は限定的でした。

MetaMaskは同日中にユーザーへこの情報を共有しました。暗号資産の保有資産は侵害されていませんが、このような侵害により攻撃者は、説得力のあるフォローアップフィッシングや、最悪の場合は物理的な標的攻撃に利用できる現実世界のデータ（氏名、住所、ハードウェアウォレット所有の確認）を手に入れることになります。ウォレットプロバイダーを名乗る予期しないメールやテキストメッセージには、特に注意してください。これは、Trezorユーザーが2022年と2024年に受けた2件の過去のデータ侵害に続くものです。

暗号資産ウォレットユーザーがフィッシングメールの標的に

警戒が必要なのはTrezorユーザーだけではありません。暗号資産ウォレットを装った悪意あるメールの新たな波が押し寄せており、偽物でありながら本物らしく見える青いチェックマークまで使用されています。必ず送信者アドレスを確認し、MetaMaskがシークレットリカバリーフレーズを求めたり、アクセスを維持するために何かを確認するよう求めることは絶対にない（いかなる場合も）ことを覚えておいてください。

緊急性を煽るコミュニケーションには特に注意してください。少しでも疑問があれば、support.metamask.ioまたは@MetaMaskSupportにお問い合わせください。詳細については、サポート記事「このメールは本当にMetaMaskからのものですか？」をご覧ください。

Coldcardのファームウェアの欠陥が5年間発見されないまま悪用され、1億1,600万ドルの被害

「コールドストレージは安全な選択肢」と考えている方々には厳しいニュースです。2026年7月30日から、攻撃者がCoinkiteのColdcardウォレットの5年前のファームウェアの欠陥を悪用しました。この欠陥は2021年3月のビルドエラーに遡り、デバイスのハードウェア乱数生成器を静かに無効化し、脆弱なソフトウェア代替品にフォールバックしていました。これにより実効的な鍵強度が最低40ビットまで低下し、デバイスへの物理的なアクセスなしにシードがブルートフォース攻撃で解読可能になっていました。4波にわたる攻撃で、攻撃者は5,200以上のアドレスから約1,816 BTC（約1億1,600万ドル）を流出させ、2026年で3番目に大きな暗号資産ハックおよびハードウェアウォレット史上最大のエクスプロイトとなりました。ファームウェアを更新しても、欠陥のあるコードでシードを生成したウォレットは修正されません。該当期間内のユーザーは、既存のシードを使用不能と見なし、新たに生成したシードに移行する必要があります。

このインシデントで注目すべきは、金額よりも、セキュリティモデルとしての「信頼するな、検証せよ」について何を示唆しているかです。Coldcardのファームウェアはオープンソースであり、ユーザーは5年間いつでもビルドを再現してバグを発見できたはずですが、CoinDesk が調査したところ、実際には誰も十分に精査しておらず、ある開発者が悪用される1年以上前に欠陥のある乱数コードを指摘したものの、「本当の問題なら今頃表面化しているはず」と言われたと報告されています。

Ethereumファウンデーションが量子コンピューター対策ロードマップを推進、暗号資産への量子リスクが具体化

暗号資産における量子リスクは最近より具体的になっており、今月の3つの記事が理論から準備への移行を示しています。まず、Quantus Networkの創設者Christopher Smithが警告しているように、暗号資産への最初の本格的な量子攻撃は、劇的なSatoshiウォレット強奪のような形では現れないでしょう。代わりに、法医学的な痕跡が全くない通常の外見を持つウォレット侵害の波として表面化する可能性があります。十分に強力な量子コンピューターは、すでにオンチェーンで公開されている公開鍵から秘密鍵を直接導出できるため、侵害されたデバイスや取引所を特定する手がかりが残りません。

同時に、Ethereumファウンデーションはそのリスクに先手を打つために実際のリソースを投入しています。研究者のJustin Drakeが発表したところによると、8年間の研究努力の末、ファウンデーションはEthereumのL1をPoseidonハッシュ関数から、SHAやBLAKEなどの実績ある代替手段に移行させており、これをネットワークの広範な量子コンピューター対策ロードマップのマイルストーンと呼んでいます。

このロードマップは、実際の資金が保管されているEthereumの部分にも及び始めています。Ethereumファウンデーションのケバウンドレイ・ウェダーバーンが提出したEIPドラフトは、約1,040億ドルのステーキングETHが通過するゲートウェイであるバリデーターデポジットコントラクトの再構築を提案しています。既存のコントラクトは現在のBLS署名の仕様をハードコードしており、量子コンピューター対策スキームが必要とするより大きな鍵のための余地がありません。新しい設計では最大8,192バイトの可変長鍵を受け入れ、各デポジットに「スキーム識別子」をタグ付けすることで、BLSが今日も機能し続けながら、まだ選定されていない量子コンピューター対策標準を後から追加できる余地を残し、さらに最終的にBLSを完全に廃止するための不可逆的な引退モードも備えています。

TheDAO.fundがセキュリティ専門家を集め、運用セキュリティのギャップとEthereumセキュリティ資金の将来を議論

TheDAO.fundがEthereumセキュリティ専門家のグループを集め、運用セキュリティ（OpSec）に関する講演を開催しました。参加者にはHudson Jameson、Isaac Patka、Joseph "Dobs" Dobson、Joe "Audit Wizard" Van Loon、Vladimir "Officer's Notes" Sobolev、Anuoluwapo "Anu" Adeleke、Aruda Usman、Roman、そしてホストのGriff Greenが含まれていました。

議論では、OpSecが暗号資産チームにとって最も脆弱な領域となりやすい理由、監査の推奨事項が必ずしも実行に移されない理由、そして油断・人的要因・不十分なフォローアップが大きな損失につながる可能性について取り上げられました。

Griffはまた、TheDAO.fundの次のフェーズについても詳しく共有しました。Ethereumセキュリティへの資金提供に対する、より積極的でイニシアチブ重視のアプローチです。予告：提案依頼書（RFP）が近日公開予定です。

Bybitが15億ドルのハックをめぐり北朝鮮とLazarus Groupに対して民事訴訟を提起

記録的な損失といえば、Bybitは世界最大の暗号資産窃盗事件（約15億ドル相当のETHおよびstETH）をめぐり、北朝鮮とLazarus Groupに対してコロンビア特別区連邦地方裁判所に民事訴訟を提起しました。Bybitはまた、身元不明の「ジョン・ドー」被告グループが保有する盗まれた資産を凍結する仮差止命令を取得し、訴訟が進行する間、資金の移動や売却を禁止しています。

この動きは進行中の米国刑事捜査と並行して行われており、法執行機関や他の取引所と連携して資金を回収し、国家支援アクターの責任を問う前例を設けようとするBybitの広範な取り組みを反映しています。Chainalysisのレポートによると、北朝鮮は2016年以来、推定67億5,000万ドルの暗号資産を盗んでおり、その多くが北朝鮮の兵器プログラムの資金源になっていると考えられています。

MetaMaskの2026年8月暗号資産セキュリティレポートでは、5年間発見されないまま1,816 BTCを流出させた1億1,600万ドルのColdcardファームウェアエクスプロイト、15億ドルのハックをめぐるBybitの北朝鮮およびLazarus Groupへの民事訴訟、そしてEthereumファウンデーションの量子コンピューター対策ロードマップの推進について取り上げました。エコシステム全体で安全を保つための新たなリスク、脅威、およびヒントについては、MetaMask暗号資産セキュリティレポートの過去のエディションをご覧ください。