2025年の主要な脆弱性

はじめに

暗号資産の損失額は2025年に34億ドルに達し、2024年の総額にほぼ匹敵します。しかし、盗難の性質は劇的に変化しました。北朝鮮のハッカーが主導し、損失は少数の大規模な攻撃に集中しています。

傾向は明らかです：エクスプロイトはもはやスマートコントラクトの脆弱性だけでなく、サプライチェーンや人間の弱点を狙っています。従来のセキュリティ対策（監査やマルチシグウォレット）は十分とは言えません。

Bybitハッキング

2月のBybit侵害は2025年の最悪の一つで、14億〜15億ドルが盗まれました。FBIは数日以内に北朝鮮のTraderTraitorグループに追跡しました。

一般的なハッキングとは異なり、これはBybitのインフラパートナーを標的にしたものでした。ハッカーはSafeウォレットの管理者を侵害し、インターフェースに悪意のあるコードを注入しました。通常の送金中に、そのコードがウォレットアドレスを入れ替え、401,000 ETHを流出させました。

攻撃パターン

資金洗浄の戦略は従来の操作とは異なっていました。攻撃者は中国のサービスを利用し、45日周期で($50万以下の小口で資金を移動させました。

ほとんどのハッカーはより大きな金額（)$1-10M(）を動かします。プライベートキーの侵害により、Q1の損失の88%が引き起こされました。北朝鮮の工作員はIT請負業者として企業に潜入し、即時の窃盗と長期的な情報収集の両方のために内部アクセスを獲得します。

Trust Wallet & Cetus

Trust Walletの12月のブラウザ拡張機能のハッキングは)ユーザ資金に影響し、同社が全額補償しました。バージョン2.68のユーザーは即時のアップデートが必要でした。

Cetus Protocolは5月に整数オーバーフローの脆弱性を利用して2億2200万〜2億2300万ドルを失いました。攻撃者はフラッシュローンを使って流動性計算を操作し、過剰担保に見える偽トークンを作成しました。彼らは15分で46プールを流出させ、その後Suiのバリデータが1億6200万ドルを凍結しました。

Balancer V2

11月のBalancer V2のエクスプロイトは複数のチェーンにまたがって資金を流出させました。攻撃を可能にした2つの欠陥は、弱いアクセス制御によるトランザクションのなりすましと、丸め誤差を生じさせるバグです。ハッカーは65回のマイクロスワップを連鎖させ、価格を10%操作するために誤差を積み重ねました。

Ethereumだけでなく、Arbitrum、Base、Polygon、Optimism、Berachainも被害を受けました。Balancerのフォークの20以上がこのバグを継承しています。

ソーシャルエンジニアリングの増加

北朝鮮の戦術は単純なフィッシングを超え進化しています。攻撃者は今や経営者や投資家になりすまし、偽のITスタッフを暗号資産企業内に潜入させ、認証済みアカウントを乗っ取ります。

AIツールはこれらのキャンペーンを加速させ、コードリポジトリの脆弱性をスキャンし、数時間以内にチェーン間でエクスプロイトを再現します。偽のCoinbaseサポートだけで1億ドル以上を盗みました。インフラの脆弱性エクスプロイトは平均して$7M 各々行われています。

10月のクラッシュ、パート1

10月10日は暗号資産史上最大の清算イベントで、14時間で193億ドルが消え、最初の60秒で32.1億ドルが失われました。160万人のトレーダーが清算されました。2つの同時ショックが$128M トランプの100%中国関税発表とMSCIのデジタル資産国債除外の協議に襲い、マーケットに処理の時間を与えませんでした。

注文板の深さは85%崩壊し、BTCのスプレッドは0.02から26.43ベーシスポイントに爆発的に拡大し、$99M 1,321倍の増加$30M 。

10月のクラッシュ、パート2

この危機はBinanceを中心に展開し、USDe担保の流動性が消失しました。他の取引所は通常通り取引を続けましたが、Binanceの価格は暴落し、市場全体の清算を引き起こしました。オラクルの操作により、(売り浴びせが96億ドルの連鎖反応に変わりました。

USDeのレバレッジを再帰的に利用し、操作可能な価格に対して10倍のポジションを積み重ねることができました。レバレッジの解消により、未決済建玉は)消滅しました。BinanceのAPIとUIの障害により、トレーダーは担保を追加したり、ディップを買ったりできませんでした。

市場の失敗と注目すべき事例

Binanceのステーブルコインの問題は広範囲に見えましたが、プラットフォーム固有のものでした。同取引所はユーザーに補償を行いながら、競合他社は正常に運営されていました。

2025年の他の大きな侵害には、Phemexの($73M)、UPCXの$60M $70M$65B 、Bitgetの$283M $100M(が含まれます。Bitgetの事件は、トレーダーが不良な自動取引ボットを利用してゲームを行ったものでした。

教訓

スマートコントラクトの監査は改善されましたが、攻撃者も適応しています。Bybitはコードの欠陥ではなく、サプライチェーンの侵害によって被害を受けました。10月のクラッシュは取引所のインフラの脆弱性を露呈しました。CetusとBalancerは複数の監査を通過していたにもかかわらず、依然としてエクスプロイトされました。

効果的なセキュリティには、リアルタイムの取引監視、サプライチェーンの検証、内部関係者の侵害を想定した対策、ストレスに耐える堅牢な市場インフラが必要です。単に一つの防御層を選ぶだけでは不十分です。