ブロックチェーンセキュリティ企業のSlowMistは、2026年上半期に182件のセキュリティインシデントを記録し、約9億5600万ドルが被害に遭ったと報告しています。攻撃件数は前年下半期と比較して約50％増加しましたが、被害総額は60％近く減少しています。つまり、暗号資産は攻撃される頻度が大幅に増えていますが、1回あたりの被害額は平均して小さくなっています。この傾向が重要なのは、報告書の中でSlowMistがAI（人工知能）を「最も急速に進化する攻撃手段」として挙げている点です。
この変化は、昨年のブリッジエクスプロイト以上に一般トレーダーに影響を与えます。本記事では、データの詳細、攻撃頻度が上がった理由と被害額が減少した背景、AIが攻撃手法をどう変えたのか、そして2026年の被害を防ぐための具体的な対策を解説します。
SlowMist 2026年上半期データの実態
注目すべきは被害総額よりも「インシデント件数」です。SlowMistは2026年1月から6月の間に182件のセキュリティイベントを記録し、これは前年下半期から約50％増加しています。これらの事件による被害額は約9億5600万ドルで、2025年の数十億ドル規模から60％近く減少しました。この傾向は、DefiLlamaのハックダッシュボードやSlowMist独自のプロジェクトデータベースと照合しても同様の流れが見られます。少数の大規模な盗難から、多数の小規模な被害へと移行しています。
被害の構成がポイントです。2025年に話題となった大型ハッキング（9桁規模のブリッジ流出や一夜でプロトコルを空にする単一のエクスプロイト）は、2026年上半期にはほぼ見られませんでした。代わりに、5～6桁規模の被害が多発し、被害者も分散しています。個人トレーダーからの4万ドル程度の流出は大きなニュースになりませんが、これが182件重なれば総額は膨らみ、影響はプロトコルのトレジャリーよりも個人ユーザーに及びます。
以下は現在の脅威分類と対象ユーザーの解説です。
| 攻撃手法 | 対象者 | 2026年で有効な理由 |
|---|---|---|
| フィッシング・偽ログインページ | 個人ウォレット保有者 | AIが短時間で本物そっくりの文章やサイトを生成 |
| ウォレットドレイナー | 悪意ある取引を承認したユーザー | ドレイナーキットが低価格で大量配布・展開可能 |
| なりすまし・ディープフェイク | コミュニティメンバー・プロジェクトチーム | 声や映像の偽造が短時間で信ぴょう性を持つ |
| 偽アプリ・拡張機能 | モバイル・ブラウザユーザー | 自動ツールでストアや検索結果に大量流入 |
| コントラクト・アクセスキー悪用 | プロトコルおよびDeFiユーザー | 大型被害は減少だが依然として高額事例が存在 |
このことから、危険はプロトコル層から個人層に移行しています。大規模なオンチェーン盗難の技術解説については、2026年DeFiハックとブリッジエクスプロイトのPhemexガイドをご参照ください。
攻撃件数が増加し被害額が減った理由
2025年以降、防御側・攻撃側双方で適応が進みました。防御面では、大規模プロトコルがブリッジの強化、リアルタイム監視、大口資金のマルチシグ管理など対策を導入し、記録的な盗難を生んだ脆弱性が減少しました。
一方、攻撃側では「小規模攻撃」のハードルが大きく低下しました。数億ドル規模の新しいスマートコントラクト脆弱性を見つける必要はなく、AIにターゲットリストを与え、フィッシングキットをレンタルすれば、一般ユーザーのウォレットに対し無数の自動化攻撃が可能です。各被害額は小さくとも、件数が多く試行コストもほぼゼロです。そのため、攻撃件数が約50％増加し、平均被害額は減少しています。
トレーダーにとって、被害の「平均値」が下がったからといって安心はできません。かつての大型ハックはプロトコルや保険基金から資金が流出することが多く、ユーザーが補填される場合もありました。2026年の傾向は、個人のウォレットから直接資金が抜かれるため、補償が受けられるケースは稀です。小規模攻撃の分散型拡大は保険も難しく、ニュースになるような大規模事件以上に個人が被害に遭うリスクが高まっています。被害総額は減少しましたが、個人が標的になる確率は上昇しています。
AIが攻撃者の手法をどう変えたか
ソーシャルエンジニアリング（人的なだまし）がウォレット侵入の最も容易な手段でしたが、AIはその「詐欺の見抜きやすさ」を一変させました。以前は不自然な文章や手作業による遅延が特徴でしたが、今やAIによる自然なサポートメールや完璧な言語翻訳、公開オンチェーン履歴を参照した個別対応まで数分で実現します。
AIツールは、人間では不可能な規模拡大を可能にします。1人のオペレーターが数千件のフィッシングメッセージや複数の偽サイトを自動生成し、24時間稼働できます。SlowMistもこうした自動化を今後の脅威として警鐘を鳴らしています。詐欺の本質は変わらずとも、その「実行量」が飛躍的に増大しました。
ディープフェイクも音声・映像による詐欺を現実のものにしています。数秒のポッドキャスト音声から創業者の声を複製したり、チームリーダーのビデオ通話を偽造して被害者に悪質リンクや即時送金を誘導します。これまでは難しかった技術が、AIのレンタルで容易に実行可能です。
これらはコードの脆弱性を突く攻撃ではなく、クリック・承認・偽の顔や声を信じ込ませることを要します。
AI補助型攻撃から自分を守るには
AI攻撃を防ぐ基本的な対策は、従来通りの「地味な」ものが有効です。AIが誘導を巧妙にしただけで、ウォレットドレイナーが求めるのは「取引承認」か「シードフレーズ」のみです。この2点を守れば、多くの2026年型攻撃は回避できます。
すべての取引承認をリスクと考えること。 ドレイナーは鍵を奪うのではなく、承認した取引で支出権限を得ます。承認内容を必ず確認し、明確な表示機能のあるウォレットを使い、不要なトークン承認は取り消しましょう。この習慣だけでSlowMistデータに見られる個人被害のほとんどを防止できます。
シードフレーズは絶対に入力しないこと。 正規のサポートやエアドロップ、復元ツールがシードフレーズを求めることはありません。ハードウェアウォレットでオフライン管理し、物理的な操作が必要な環境で保護しましょう。
本人確認は別チャネルで。 創業者やチームリーダーから緊急取引を促す音声やビデオがあれば、一旦切って信頼できる別の連絡方法で本人確認を行いましょう。ディープフェイクは即時は巧妙でも、別経路での検証ですぐ判明するため、急がず慎重さを持つことが重要です。
正規サイトをブックマークし、コントラクトアドレスを必ず確認。 取引所・ブリッジ・dAppへは検索結果やメッセージ内リンクではなく、必ず自身でブックマークした公式URLからアクセスしましょう。 ステーブルコインやDeFiプロトコル利用時は、コントラクトアドレスを公式情報で照合しましょう。ビットコイン等の資産を移す際も同様です。数秒の確認がウォレット被害を防ぎます。
よくある質問
2026年の暗号資産被害額は？
SlowMistによれば、2026年上半期だけで9億5600万ドルが182件のインシデントで盗難に遭いました。被害総額は約60％減少していますが、事件数は約50％増加しており、被害規模は小さくとも頻度は上がっています。
攻撃件数が増えたのに被害額が減った理由は？
2025年のような大型プロトコルやブリッジのハッキングが対策強化で減少し、攻撃者は個人を狙うフィッシングやウォレットドレイナーによる小規模・多発型攻撃にシフトしました。そのため件数は増え、1件あたり被害額は減少しています。
AIは暗号資産詐欺でどう使われているのか？
AIは、どの言語でも不自然のないフィッシングメッセージ作成、数分での正規サイト複製、音声や映像のディープフェイク生成などに利用されています。単一の攻撃者が何千件もの自動化攻撃を同時展開できるため、SlowMistはAIを2026年の攻撃で最も成長した要素と位置付けています。
今最も多い暗号資産流出の経路は？
悪意ある取引承認と、偽サイトへのシードフレーズ入力が主流です。どちらもユーザーをだます手法であり、ハードウェアウォレットや承認内容確認の習慣が多くの攻撃を防ぎます。
まとめ
2026年のデータは「被害の質的変化」を示唆しています。大型ハッキングが減少し総額は下がったものの、182件・約50％増のインシデントは、個人ウォレットが標的となるリスクの高まりを示しています。AIによる自動化・精巧化で、ソーシャルエンジニアリング詐欺が桁違いの規模で実行されています。急な要求・承認内容の確認・シードフレーズのオフライン管理・異常な連絡の二重確認を徹底しましょう。2026年下半期も、クリックを誘導する巧妙な攻撃が中心となる見込みです。
本記事は情報提供のみを目的としており、投資・金融アドバイスを提供するものではありません。暗号資産取引には高いリスクが伴います。投資判断はご自身のリサーチに基づき行ってください。
