暗号資産におけるハッキング損失のうち約40％は、スマートコントラクトの脆弱性によるものではなく、秘密鍵の流出や漏洩が原因であることが明らかになった。業界は秘密鍵の脆弱性解消に向けて取り組んでいるものの、その進展には偏りがあると指摘されている。
Pharosの共同創業者兼CEO Wish Wu氏は、数百万ドル規模の搾取やハッキング被害が日常的に報じられる中、暗号資産における問題の根本は「秘密鍵」にあると述べた。DeFiLlamaのデータによれば、ブロックチェーンプロジェクトはハッキングやDeFi搾取、ブリッジ攻撃により総額166.9億ドルを失っており、その約40％はブロックチェーン技術やスマートコントラクトの脆弱性ではなく、秘密鍵が第三者に取得されたことに起因している。
秘密鍵はパスワードのような存在であり、銀行の中核システム自体が侵害されることは稀だが、パスワードが漏洩すれば巨額の資金が不正アクセスされるのと同様、ブロックチェーンやスマートコントラクトのコードは堅牢であっても、秘密鍵の漏洩が損失の大部分を占めている。
CertiKはCoinDeskに対し、「スマートコントラクトの搾取は減少傾向にあるが、運用上のセキュリティインシデントは増加している」と説明した。攻撃者は最も脆弱な部分を狙い、プロジェクトがスマートコントラクトにのみセキュリティの投資を集中することで、他の重要領域が露出したままになっているとの指摘だ。
■ハッキングの仕組み
暗号資産ウォレットには「公開鍵」と「秘密鍵」の二種類が存在する。公開鍵は口座番号のように公開され送金・受取に使われるが、秘密鍵はパスワードの役割を果たし、資金の所有権証明や使用を可能にする重要な文字列である。
秘密鍵を紛失すると、銀行のようなリセット手段や不正請求の窓口は存在せず、鍵を保持する者がその資金を自由に管理可能になる。つまり、秘密鍵の管理が破られれば技術やコードは無力となる。
秘密鍵のハッキングは大きく二つに分類される。ひとつはブルートフォース攻撃で、攻撃者が推測や総当たりで秘密鍵を特定する方法。もうひとつは経緯不明の流出で、鍵の漏洩原因が特定されていないケースだ。これらによる損失が全体の約40％を占めている。
ZK Proof Layerの創業者兼CEO Leo Fan氏は「秘密鍵のハッキングは暗号技術の失敗ではなく、鍵管理の失敗である。楕円曲線暗号自体は破られていない」と断言した。
また、秘密鍵の問題はパスワード管理の問題と似ており、使用・保管・共有されることで漏洩リスクが高まる。Fan氏は「運用鍵はホットでなければならず、サービス内で秘密情報と依存関係、人に囲まれて存在するため侵害されやすい」と補足した。
つまり、取引署名に用いる秘密鍵はサーバー上に存在し、クラウド認証情報やソフトウェア依存関係、人の管理下に置かれている環境が、最大の脆弱部分となっている。
PharosのWu氏はこの問題をブロックチェーンの設計思想に起因すると説明。「多くのブロックチェーンはシングルユーザー・シングルキーで設計され、秘密鍵ひとつで資産を全て管理する。鍵を失うか盗まれれば資産は瞬時に消失する。この構造は金融機関が長年採用してきた複数承認者や多層防御といった基本的なセキュリティ原則に反している」と述べた。
Wu氏はさらに、攻撃経路の増加も指摘し、「クラウドシステム、サードパーティツール、ソーシャルメディアアカウント、それらを操作する人間がすべて不正侵入の入口になり得る」と説明した。
両氏は2025年2月のBybitハッキング事件を例に挙げている。攻撃者はサードパーティ開発ツールのソフトウェアサプライチェーンを侵害し、ウォレットのウェブインターフェースに悪意あるコードを注入。経営陣が気づかぬうちに約15億ドル相当のEthereumを不正移動させた。
■対策
Wu氏は、業界は秘密鍵の脆弱性問題への対応を開始しているが、進展に偏りがあると指摘。MPC（多者計算）ウォレット、ソーシャルリカバリーを備えたアカウント抽象化、パスキーによるログイン方法、ハードウェアウォレットの活用、適切な鍵管理の標準運用手順（SOP）など多方面の取り組みがあるものの、多くはプロトコルレベルに組み込まれずオプション機能として扱われ、セキュリティをコア設計として認識していないチェーンも多いと述べた。
CysicのFan氏も単一秘密鍵依存から脱却する動きが広がっていると回答。MPCや閾値署名は署名処理を分割し、単一の秘密鍵が一か所に存在しない設計で、単独の侵害リスクを軽減する。
また、アカウント抽象化によりユーザー自身がスマートコントラクトを自分のアカウントとして利用し、支出上限や承認済みアドレス、バックアップガーディアンの設定が可能となり、署名者が侵害されても資金を無断に移動されるのを防止できる。
Wu氏は「今後は業界がセキュリティを一度きりの監査ではなく、日々継続すべき規律として扱うことが重要だ」と強調した。さらに、「開発から展開、運用の全ライフサイクルにセキュリティを組み込み、人間の行動やセキュリティ文化、意識、教育が最大の防衛線であることを認識しなければならない」と語った。