Coinsbuy、790万ドルのハッキング被害：イーサリアムとTRONで同時多発的な不正引き出し

攻撃の経緯：高度に連携されたクロスチェーン攻撃

攻撃は、8月9日13:00 UTC頃、TRONネットワーク上での5 USDTのテスト送金から始まりました 。その後、1時間以内に8つのTRONウォレットから約604万ドル相当のステーブルコインが引き出され、そのうち最大の1回の取引で約350万ドルのUSDTが盗まれました 。ほぼ同時刻に、3つのイーサリアムウォレットからも、189万ドルのUSDTと77 ETHが引き出され、攻撃者は当日作成したウォレットを通じて、分散型アグリゲーター1inchでETHに交換しました 。

異なる2つのブロックチェーン上のウォレットにほぼ同時にアクセスできたことから、攻撃者はCoinsbuyの秘密鍵を入手するか、ウォレットインフラそのものに侵入した可能性が高いと分析されています。スマートコントラクトの脆弱性を突いた攻撃ではないとみられています 。オンチェーンデータによると、2つのチェーンはクロスチェーンスワッパー「Bridgers」を介して接続されており、そのイーサリアム側の送金コントラクトがTRON側から資金を受け取っていました 。

資金洗浄：Moneroへの変換

攻撃者は素早く資金の追跡を困難にしました。盗まれた資金は、3つの取引所——ChangeNOW、FixedFloat、BingX——を経由し、プライバシー重視の暗号資産Monero（XMR）に変換されました。Moneroはトレーサビリティが非常に低いことで知られており、この変換によって捜査の窓は狭まりました 。

検知と対応

オンチェーン監視企業Specterが最初に不審な送金を検知し、8月9日13:00 UTC頃、Telegramチャンネルで警告を発しました 。ブロックチェーンセキュリティ企業PeckShieldも独自にこの攻撃を確認し、盗まれた資金の流れを追跡、3つの取引所を特定しました 。

Coinsbuyの対応：

• 攻撃後ただちに入出金を一時停止 。
• サービスを復旧し、被害に遭った顧客の資金を自社の準備金から全額補償すると発表 。
• 犯人特定につながる情報に10万ドルの報奨金を提示 。

ChangeNOWの協力により、盗まれた資産の一部（6桁の金額）を凍結しましたが、資金の大部分はすでに移動していました 。

背景：2026年は暗号資産ハッキングの記録的な年

Coinsbuyの事件は氷山の一角に過ぎません。2026年上半期、複数のセキュリティ企業が過去最高のハッキング件数を報告しています 。

• Blockaidは、2026年上半期に212件の確認済みインシデントで10億ドル以上の損失が発生したと報告。これを「件数ベースでは過去最多の半年」と表現しました 。
• TRM Labsは、同じ期間に207件のハッキングをカウントし、総損失額は約9億7200万ドルに上ると報告 。
• CertiKは、344件のオンチェーンインシデントで13億1500万ドルが盗まれたと報告。2025年のBybit事件（15億ドル）を除くと、純損失は前年比28％増加しました 。

北朝鮮関連ハッカー（特にLazarus Group）が盗まれた価値の約55％を占め、スマートコントラクトのバグではなく、インフラ/サプライチェーン攻撃が主要なベクターとして浮上しました 。特に「特権キーの不正使用」による損失は、2026年上半期だけで約7億9000万ドルに達しました 。

年間ベースでは、REKTの追跡によると、2026年のハッキング被害総額は約12億ドル、件数は276件に上りました。このうちColdcardハードウェアウォレットの侵害だけで全体の約10％（約1億2000万ドル）を占めています 。

まとめ

• 攻撃ベクター：秘密鍵の漏洩またはウォレットインフラへの侵入による、高度に連携されたクロスチェーン攻撃。スマートコントラクトの脆弱性は利用されていない。
• 被害規模：イーサリアムとTRONの両チェーンで約790万ドル（一部の分析では807万ドル）が盗まれる 。
• 資金洗浄：ChangeNOW、FixedFloat、BingXの3つの取引所を経由し、Monero（XMR）に変換される。
• 一部回収：ChangeNOWの協力で6桁の金額を凍結。Coinsbuyは顧客の損失を自社準備金で補償。
• 記録的な年の一部：今回の攻撃は、2026年に頻発したハッキングの傾向（スマートコントラクトの脆弱性からインフラ・秘密鍵の侵害へと脅威が変化）の一例。