Triple-A（トリプルA）のホットウォレットから約18億円が不正流出——7つのブロックチェーンを跨ぎ被害額は31時間で拡大

影響を受けたネットワーク

攻撃者は**イーサリアム（Ethereum）、TRON、ポリゴン（Polygon）、アービトラム（Arbitrum）、ソラナ（Solana）、The Open Network（TON）、ビットコイン（Bitcoin）**の7つのブロックチェーンネットワークから資産を引き出した。複数のチェーンを跨ぐこの攻撃には、資産の効率的なスワップとブリッジが必要であり、高度に組織化されたオペレーションであることを示唆している。

資産の集約とオンチェーン上の動き

この不正流出の特徴は、攻撃者が資金を集約した方法にある。攻撃者は分散型取引所（DEX）で盗んだステーブルコインをスワップし、全資金を1つのイーサリアムアドレスにブリッジした。このアドレスには最終的に約5,227ETH（当時約973万ドル相当）が集約された。このような集約パターンは、ホットウォレットの不正利用において、攻撃者がネイティブ資産ではないトークンをETHに変換し、移動やマネーロンダリングを容易にする典型的な手法である。

Triple-Aの対応と資産分離

Triple-Aはトレジャリーウォレットの侵害を確認し、顧客資産への影響はないと発表した。侵害されたのは企業のトレジャリーウォレットであり、顧客のカストディ口座ではない。同社は財務的直接的な影響を吸収するとし、積極的に調査中であると述べている。この対応は、Triple-Aが顧客資産を専用の保護口座で管理し、侵害された運用トレジャリーウォレットとは分離するというセキュリティアーキテクチャの有効性を浮き彫りにした。

Triple-Aの規制上の立場

Triple-Aは、シンガポールに拠点を置くフィアット（法定通貨）・暗号資産間の決済ゲートウェイで、2020年に創業。暗号資産決済セクターにおいて、最も広範なライセンスポートフォリオの1つを保有している。

• シンガポール金融管理局（MAS） からの主要決済機関（MPI）免許
• フランスのAMF（金融市場庁） からのMiCA（暗号資産市場規制）CASP（暗号資産サービスプロバイダー）ライセンス。EU・EEA全30カ国でのサービス提供を認可
• ドバイのVARA（仮想資産規制庁） からのブローカーディーラー業務に関する原則承認

また、同社はMastercardとの提携を結び、国際送金インフラの強化を進めていた。

2026年上半期の暗号資産ハッキング被害の全体像

Triple-Aのハッキングは単独の事例ではない。複数のセキュリティ企業が、2026年上半期に記録的な、またはそれに近いハッキング活動を報告している。

PeckShieldは特に、2026年上半期の主な攻撃ベクトルとして、ブリッジの脆弱性、スマートコントラクトの欠陥、秘密鍵の漏洩を挙げている。TRM Labsは、運用上の妥協——鍵管理や署名インフラを含む——が、純粋なスマートコントラクトの不正利用よりも多くの損失を占めるようになったと指摘している。北朝鮮関連のグループが、2026年上半期の総損失の約6億4300万ドル（約66%） に関与したと見られている。

Immunefiの報告によると、2026年上半期の総被害額は10億ドルを下回り、2025年上半期の約23億ドルの半分以下に減少したものの、インシデント件数は過去最多の207件を記録した。The Blockも、重大な被害はますますインフラ障害、秘密鍵の漏洩、クロスチェーン設定ミス、特権アクセスの脆弱性から生じていると指摘している。

重要な注意点

• 最終的な被害額については報告によってばらつきがある。Specterのオンチェーン追跡では約1180万ドルと確定したが、一部のメディアは1200万ドルと報じている。
• ビットコインネットワークは一部の報告で影響を受けたチェーンとして挙げられているが、全ての報告で確認されているわけではない。ビットコインへの関与は間接的、あるいは被害総額に占める割合が小さかった可能性がある。
• Triple-Aによる顧客資産への影響がないという保証は、侵害されたトレジャリーウォレットから顧客のカストディ口座が分離されていることに基づく。

教訓

Triple-Aのホットウォレットハッキングは、暗号資産を取り巻く脅威の状況が変化していることを示す典型例である。攻撃者はスマートコントラクトのバグを突いたのではなく、ホットウォレットの秘密鍵を漏洩させた。これは、2026年において盗まれる価値の大半を占める運用上の失敗の一種である。複数のライセンスを有する規制対象の決済ゲートウェイにとって、このインシデントは、資産分離の重要性（これにより顧客資産は保護された）と、ホットウォレットインフラが持つ永続的な脆弱性の両方を示している。業界が2026年後半を迎えるにあたり、スマートコントラクトのコード監査よりも、秘密鍵と運用インフラの保護が今やより重要であるという教訓が明確になった。