「監査済み」でも安全とは限らず？仮想通貨の損失94%が範囲外

セキュリティ企業ack3とチェコ工科大学プラハ校に所属する研究者らが、2026年上半期に報告された135件のインシデントを分析したプレプリントを公開しました。対象期間に帰属した損失額は合計9億3986万ドルで、このうち68件については事前の公開監査を特定できたとされています。

68件の内訳では、46件の攻撃経路が特定可能ないずれの監査範囲にも含まれていませんでした。20件は少なくとも1つの範囲内、2件は判別不能です。範囲外の46件は件数で67.6%にとどまる一方、報告された損失額では94.4%を占めました。ただしKelp DAOの2億9200万ドルとDrift Protocolの2億8500万ドルという2件を除くと、範囲外の比率は72.1%に下がります。

この数値は監査の有効性を測定したものではなく、報告された事案における損失の分布を示すものとされています。著者のうち2人はセキュリティ監査を販売するack3に所属しています。攻撃を受けなかった比較対象やシステムが危険にさらされていた期間の指標も含まれていません。

それでも、「監査済み」という表示と実際に何が監査されたかは別の変数であることが示されました。8月のICON Networkの事案では、監査を受けていた出金経路で一意性の判定と署名対象の不一致が突かれ、1490回の再実行が成立しています。

利用者にとっては、対象リポジトリや稼働中のアドレスまで特定できる開示が課題になりそうです。

記事ソース：資料