「監査済み」は安全の証明か？仮想通貨損失の5割が人的要因

仮想通貨のプロジェクトが掲げる「監査済み」の表示が、実際の検査範囲を超えた安心感を与えているとの指摘が出ています。スマートコントラクトの監査は限られたコードと期間を対象とする一方、利用者は組織全体の安全性が証明されたものと受け取りがちだからです。

象徴的なのが2025年2月21日のバイビットの事例です。イーサリアムのコールドウォレットからの送金で署名画面が改ざんされ、承認者は想定通りの送金先を見ていたにもかかわらず、実際には攻撃者に権限が渡っていました。損失は14億6000万ドルでFBIは北朝鮮の関与を指摘しています。

Safeは開発者端末の侵害が原因で、スマートコントラクトやフロントエンドのソースコードに脆弱性は見つからなかったと説明しました。

Oak Securityのステファン・ベイヤー氏による6月のプレプリントは、22社の監査による2万3818件の公開指摘と2022年1月から2026年3月までの218件のインシデント（推定損失77億6400万ドル）を比較しています。監査での指摘はロジックや業務ロジックが14.6%、コード品質が13.0%と上位でした。一方、損失額では秘密鍵の侵害が18億9400万ドル（24.4%）、フィッシングと人的操作が15億1100万ドル（19.5%）を占め、人的要因は全体の49.6%に達したとされています。

ただしフィッシングの被害額はバイビット1件が大半を占めるなど、少数の巨大事案が分類全体を左右する点には注意が必要です。同論文は監査業界の内部者による未査読の研究でもあります。それでも、監査対象のコミットや確認日、鍵管理や運用面の検証状況を明示する「成分表示」のような様式が必要だという主張には一定の説得力があるとされています。表示の言葉が検査範囲を正確に伝えられるかどうかが、今後の信頼性を左右しそうです。

【PR】最大6%還元のTriaカード｜今なら無料プランあり！

最大6%還元の仮想通貨カード「Tria」を今なら無料プランから始められます。

Triaは仮想通貨をコンビニやレストラン、オンラインショッピングなどのVisa加盟店で使えるクレジットカード。BTCやETH、JPYCなど1,000種類以上の暗号資産に対応し、対象のカード利用では最大6%のキャッシュバックを受けられます。

さらに現在、Triaカードの購入＋3つの必須タスク完了で総額1,500 USDC（約25万円相当）が26名に当たるキャンペーンを開催中。バーチャルカードなら無料で始められます。

Triaカードとは？

① 仮想通貨をVisa加盟店で使えるクレジットカード

② カード利用で最大6%キャッシュバック

③ 累計決済額3,000万ドル、ユーザー数30万人以上の実績

無料でTriaを始める

※キャンペーンは2026年8月31日23:59まで。カードの料金・還元率・当選倍率などには条件があります。

記事ソース：資料