2026年第1四半期のDeFi攻撃で1億3,700万ドルの被害、AI駆動の攻撃が加速

Step Financeはフィッシング攻撃により幹部のデバイスが侵害され、攻撃者が秘密鍵を抽出してプロトコルの資金を流出させたことで、2,730万ドルという最大の単一損失を被った。Truebitは2,620万ドルの被害で、レガシーコントラクトのエラーにより攻撃者がTRUトークンを無料で鋳造し、それを燃やして価値を吸い上げることができた。

3月22日のResolvプロトコル侵害では2,500万ドル以上が流出した。侵害されたAWS Key Management Serviceキーにより、攻撃者は8,000万USRトークンを鋳造することができた。プロトコルは18回の独立したセキュリティ監査を受けていたが、脆弱性はブロックチェーン自体の外にあるインフラ依存関係に起因していた。

その他の注目すべき損失には、SwapNet(1,340万ドル)、YieldBlox(1,097万ドル)、SagaEVM(700万ドル)、IoTeX(440万ドル)などがある。

セキュリティ研究者は懸念すべきトレンドを指摘している。攻撃者は大規模言語モデルを使用して、毎秒数千行のスマートコントラクトコードをスキャンし、人間の監査者がパッチを適用するよりも速く悪用可能なパターンを特定している。複数のセキュリティ企業が最近の攻撃においてAI駆動の自動化と一致する証拠を報告している。

この変化により、攻撃の実行コストが下がり、防御が困難になっている。かつて高度な攻撃には深いSolidityの専門知識と数週間にわたる手動コードレビューが必要だったが、AIツールは数分でレガシーコントラクトの脆弱性を浮き彫りにすることができる。

すべてのプロトコルが同じように対応しているわけではない。IoTeXは影響を受けたユーザーに全額補償を提供する請求ポータルを開設した。Resolv Labsは侵害の1日後に事前保有者への償還を回復し始めた。しかし、複数の小規模プロトコルは補償計画を提示していない。

第1四半期がまだ終わっていない中、攻撃のペースは2026年が2025年に暗号ハッキングで失われた34億ドルに匹敵する可能性を示唆している。Chainalysisは、スマートコントラクトのバグだけでなく、インフラ層の脆弱性がDeFiにおける最も急速に成長している攻撃面であることを強調している。