「監査済み」は安全の証明か？仮想通貨損失の5割が人的要因

仮想通貨のプロジェクトが掲げる「監査済み」の表示が、実際の検査範囲を超えた安心感を与えているとの指摘が出ています。スマートコントラクトの監査は限られたコードと期間を対象とする一方、利用者は組織全体の安全性が証明されたものと受け取りがちだからです。

象徴的なのが2025年2月21日のバイビットの事例です。イーサリアムのコールドウォレットからの送金で署名画面が改ざんされ、承認者は想定通りの送金先を見ていたにもかかわらず、実際には攻撃者に権限が渡っていました。損失は14億6000万ドルでFBIは北朝鮮の関与を指摘しています。

Safeは開発者端末の侵害が原因で、スマートコントラクトやフロントエンドのソースコードに脆弱性は見つからなかったと説明しました。

Oak Securityのステファン・ベイヤー氏による6月のプレプリントは、22社の監査による2万3818件の公開指摘と2022年1月から2026年3月までの218件のインシデント（推定損失77億6400万ドル）を比較しています。監査での指摘はロジックや業務ロジックが14.6%、コード品質が13.0%と上位でした。一方、損失額では秘密鍵の侵害が18億9400万ドル（24.4%）、フィッシングと人的操作が15億1100万ドル（19.5%）を占め、人的要因は全体の49.6%に達したとされています。

ただしフィッシングの被害額はバイビット1件が大半を占めるなど、少数の巨大事案が分類全体を左右する点には注意が必要です。同論文は監査業界の内部者による未査読の研究でもあります。それでも、監査対象のコミットや確認日、鍵管理や運用面の検証状況を明示する「成分表示」のような様式が必要だという主張には一定の説得力があるとされています。表示の言葉が検査範囲を正確に伝えられるかどうかが、今後の信頼性を左右しそうです。

【PR】最大6%還元クレカの無料獲得チャンス！

抽選で26名が25ドル〜250ドル相当の賞品を獲得できる豪華キャンペーンが期間限定で開催中！

仮想通貨クレカ「Tria」のカード購入（無料プラン有）+ かんたんタスクで最大6%キャッシュバックのクレジットカードを実質無料で獲得できるチャンスです。是非この機会に参加しましょう（→参加はこちら）

Triaカードとは？

① 仮想通貨で決済可能なクレジットカード

② BTCやETH、JPYCなど1,000種類以上の仮想通貨に対応

③ 累計決済額3,000万ドル、ユーザー数30万人以上の実績

キャンペーン詳細を見る

記事ソース：資料