暗号資産取引所Coinsbuyが8月9日、約807万ドル（約9億円相当）の不正流出被害に遭った。TRONとEthereumの2つのブロックチェーンを同時に狙った協調攻撃で、オンチェーン分析からは同一犯による計画的実行の痕跡が浮かんでいる。
特筆すべきは、このわずか1時間での2チェーン同時攻撃を、クロスチェーンスワップサービス「Bridgers」が結びつけた点だ。さらに被害額の79%が即座に無審査交換所FixedFloatを通過し、資金洗浄が図られた。単なる偶発的な2件のインシデントではなく、精巧に設計された単一の攻撃だったことを示している。
取引所が大規模なハッキングに遭う事例は後を絶たないが、本件で際立つのは「秘密鍵は侵害されていない」とみられる状況下での不正出金だ。この記事ではオンチェーンデータが明らかにした攻撃の全容と、業界に投げかける新たな課題を詳しく見ていく。
攻撃の全容
ブロックチェーンセキュリティ研究者「BlockWatchdog」が分析したオンチェーンデータによれば、攻撃は8月9日、極めて小額のテスト取引から始まった。
犯人はまず5 USDT（ドル連動型ステーブルコイン、テザー社発行の暗号資産で1トークンがほぼ1米ドルの価値を持つ）という目立たない金額を送金。システムの応答を確認した後、わずか1時間足らずの間にTRONネットワーク上の8つのウォレットから604万USDTを一気に抜き取った。
同じタイミングでEthereum側でも攻撃が進行していた。3つのウォレットから189万USDTと77 ETH（イーサリアム、Ethereumネットワークの基軸通貨）が流出。このうち77 ETHは、攻撃当日に作成されたばかりのウォレットを経由し、分散型取引所アグリゲーター「1inch」を使って即座にETHへ交換された。
2つのチェーンで起きた一見別々の事件を結びつけたのが、クロスチェーンスワップサービス「Bridgers」だ。BridgersのEthereum側支払いコントラクト（プログラムされた自動実行システム）が、Ethereum上の交換用ウォレットに直接資金を送り込んでいた。この動きにより、TRONとEthereumの両ネットワークでの流出が単一犯による一連の攻撃であることが裏付けられた。
攻撃者が選んだ資金洗浄ルート
FixedFloatに集中した資金の79%
不正に引き出された総額807万ドルのうち、実に約79%にあたる資金が無審査型の即時交換所「FixedFloat（フィックスドフロート）」に流れ込んだ。攻撃者は約50の使い捨てアドレスを使い分け、追跡を困難にしようと試みている。
FixedFloatのような即時交換サービスは、取引所アカウントの開設や本人確認（KYC）を必要とせずに暗号資産の交換が可能だ。利便性の高さから多くのユーザーに利用される一方、攻撃者にとっては資金の出所を隠蔽する格好の経路となりやすい。今回の事例も、そのリスクが現実化した形だ。
ChangeNOWが凍結に成功した6桁ドル相当の資金
全額が無事に闇に消えたわけではない。別の即時交換サービス「ChangeNOW」が、ブロックチェーン調査企業Specter Investigationsからの連絡を受けて6桁ドル相当（数十万ドル規模）の資金を凍結した。
迅速な情報共有とサービス事業者の協力が、被害の一部食い止めにつながった格好だ。Specter Investigationsはテレグラムチャンネル上でこの対応を公表し、セキュリティコミュニティの連携が一定の効果を発揮したことを示した。
なお、Ethereumネットワーク上の5つのアドレスに残る約282 ETH（約54万2,000ドル相当）は、記事執筆時点で動かされていない。
秘密鍵は守られていた、それでも起きた流出
本件で最も不可解な点は、秘密鍵が侵害された形跡がないにもかかわらず、多額の出金が実行されたことだ。
秘密鍵とは、ブロックチェーン上の資産を動かすための暗号学的なパスワードに相当する。これが漏洩すればウォレットの完全な制御が奪われるが、Coinsbuyの対応を見る限り、その可能性は低いとみられている。
根拠は攻撃から24時間以内にとられた行動だ。同取引所は被害に遭ったすべてのウォレットに対し、攻撃前の残高からわずか0.05%以内の精度で資金を補充している。セキュリティ研究者らは、秘密鍵が依然として安全に管理されていると判断したからこそ、同じウォレットに再び資金を入れる決断ができたと指摘する。
では、攻撃者はどうやって出金経路を確保したのか。この問いに対する答えはまだ出ていない。システムのAPI（プログラム同士が通信するための接続口）の悪用、内部不正、承認フローの脆弱性など、複数の可能性が考えられるが、Coinsbuyは詳細な技術情報の開示を控えている。
CoinsbuyはCoinDeskの取材に対し「事態は封じ込められており、影響を受けたすべての金額は当社の自社保有準備金により全額補填された」と回答。顧客への損失は一切発生しておらず、プラットフォームは安定して通常運用を続けているという。調査は進行中で、現段階では技術的な詳細の開示はできないとしている。
業界全体で増え続ける被害額
今回のCoinsbuyへの攻撃は、2026年の暗号資産業界におけるセキュリティ被害の拡大傾向に拍車をかけるものだ。CoinDesk Indicesの集計によれば、7月末時点ですでに年間被害総額は約9億7,200万ドルに達していた。
この数字には、スマートコントラクトの脆弱性を突いた攻撃、ブリッジ（異なるブロックチェーン間で資産を移動させる仕組み）への侵入、そして今回のような取引所本体を標的とした攻撃が含まれている。
Coinsbuyのケースが特異なのは、単一の攻撃者が2つの独立したブロックチェーン上の計11ウォレットを同時に操作し、クロスチェーンスワップサービスまで攻撃経路に組み込んでいた点だ。攻撃の高度化と複雑化が進んでいることを如実に示している。
顧客資産の全額補填を迅速に行ったCoinsbuyの対応そのものは評価できる。しかし、出金経路がどのように突破されたのかが解明されない限り、同様の攻撃が他取引所で再現されるリスクはくすぶり続ける。業界全体として、秘密鍵の管理だけでは防げない新たな脅威への対策が急務となっている。
この記事のポイント
- Coinsbuyが8月9日、TRONとEthereumの2チェーン同時攻撃で約807万ドルを不正流出された。オンチェーン分析で単一犯の関与が確認されている。
- 被害額の79%が無審査交換所FixedFloatを経由。約50の使い捨てアドレスを使った資金洗浄が試みられたが、ChangeNOWが6桁ドル相当の凍結に成功した。
- 秘密鍵は侵害されていないとみられる中での攻撃であり、APIや承認フローの脆弱性など未知の攻撃経路が疑われている。Coinsbuyは24時間以内に全額を自社保有資金で補填した。
- 7月末時点で暗号資産業界の年間被害額は約9億7,200万ドルに達しており、攻撃の高度化が続いている。
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。