Web3混乱が深刻化：2026年わずか2週間で数百万ドルが流出 – レポート

Extropyは2026年1月における主要暗号資産ハッキング事件を報告。Truebitは2,600万ドルを失い、Ledgerのデータ侵害によりユーザーが露出し、フィッシング攻撃が急増している。

2026年の最初の2週間は、Web3プラットフォーム全体でセキュリティインシデントの波をもたらした。 

Extropyはこれらの事象を記録したSecurity Bytesレポートを公開した。調査結果は現在の脅威状況の憂慮すべき状況を描き出している。

レポートによると、攻撃者はホリデーシーズンを通じて活動を継続した。被害は数百万ドル規模の攻撃から高度なフィッシングキャンペーンに及んでいる。

Truebitプロトコルがレガシーコードの欠陥で2,600万ドルを失う

本年最初の重大インシデントは1月8日にTruebitプロトコルを襲った。攻撃者はExtropyが「ゾンビコード」エクスプロイトと呼ぶ手法で約2,600万ドルを流出させた。

脆弱性はレガシースマートコントラクトにおける整数オーバーフローに起因していた。これらの古いコントラクトには、最新のSolidityのネイティブオーバーフロー保護が欠けていた。攻撃者は事実上コストをかけずに数百万のTRUトークンを鋳造した。

一度作成されると、トークンはプロトコルに流れ込んだ。利用可能な流動性は数時間以内に消失した。TRUトークン価格はわずか24時間でほぼ100%暴落した。

Extropyは、攻撃者が直ちにTornado Cashを通じて8,535 ETHを移動させたと指摘している。セキュリティ企業は後にそのウォレットを以前のSparkleプロトコルエクスプロイトに関連付けた。これは放置されたコントラクトを特に標的とする常習犯を示唆している。

レポートは、レガシーコントラクトが依然として重大な脆弱性であると警告している。プロジェクトは古いコードを積極的に監視するか廃止する必要がある。

TMXTribeが36時間で140万ドルの流出を見守る

1月5日から1月7日の間、TMXTribeはより遅いが同様に壊滅的な攻撃を受けた。Arbitrum上のGMXフォークは36時間連続で140万ドルを失った。

Extropyはこのエクスプロイトを機械的に単純だと説明している。ループがLPトークンを鋳造し、それらをステーブルコインと交換し、その後繰り返しアンステークした。未検証のコントラクトが正確な欠陥の公的分析を妨げた。

研究者を最も困惑させたのはチームの対応だった。レポートによると、開発者は攻撃中ずっとオンチェーンでアクティブだった。彼らは流出中に新しいコントラクトをデプロイし、アップグレードを実行した。

しかし、彼らは緊急停止機能を起動することはなかった。代わりにチームは攻撃者にオンチェーンバウンティメッセージを送った。泥棒はそれを無視し、資金をEthereumにブリッジし、Tornado Cashを通じてマネーロンダリングした。

Extropyはこれが過失を表すのか、それともより悪い何かを表すのかを疑問視している。レポートは、未検証のコントラクトがユーザーにとって警告信号として機能することを強調している。

Ledgerの顧客が物理的なセキュリティリスクに直面

1月5日、Ledgerは顧客基盤に影響を与えるデータ侵害を確認した。侵害は決済プロセッサーGlobal-eから発生し、Ledgerのハードウェアからではなかった。

顧客名、配送先住所、連絡先情報が侵害された。Extropyは、これがセキュリティ専門家が「レンチ攻撃」シナリオと呼ぶものを生み出すと警告している。攻撃者は現在、暗号資産ハードウェアウォレット所有者のリストとその所在地を所有している。

レポートは痛烈な皮肉を指摘している。Ledgerは以前、セキュリティ機能に課金することで批判に直面していた。今や彼らの決済プロセッサーはユーザーを無償で物理的危険に晒している。

Extropyはユーザーに高度なフィッシング試行を予期するよう助言している。盗まれたデータにより、攻撃者は個人化されたコミュニケーションを通じて偽の信頼を確立できる。

関連記事: Ledgerハードウェアウォレットを取り巻くセキュリティインシデントのまとめ

メタマスクフィッシングキャンペーンが107,000ドルを流出

セキュリティ研究者ZachXBTは、メタマスクユーザーを標的とした高度なフィッシング活動にフラグを立てた。このキャンペーンは数百のウォレットから107,000ドル以上を流出させている。

被害者は2026年の必須アップグレードを主張するプロフェッショナルな電子メールを受け取った。メッセージは正規のマーケティングテンプレートを使用し、修正されたメタマスクロゴを特徴としていた。Extropyは「パーティーハット」キツネデザインを無害に祝祭的だと表現している。

この詐欺はシードフレーズを要求することを避けた。代わりに、ユーザーにコントラクト承認への署名を促した。これにより攻撃者は被害者のウォレットから無制限にトークンを移動できるようになった。

個々の盗難を2,000ドル未満に保つことで、この活動は大きな警告を回避した。Extropyは、署名が漏洩した鍵と同じくらい危険である可能性があることを強調している。

Web3の混乱が激化:2026年のわずか2週間で数百万ドルが流出 – レポートという投稿はLive Bitcoin Newsに最初に掲載されました。