会社設立のミチシルベ

仮想通貨投資を始めたいけれど、ハッキングのニュースを見て不安を感じていませんか。

実際、2022年には約38億ドルもの仮想通貨がハッキングにより盗まれました。

出典：Chainalysis

しかし、適切な知識と対策を身につければ、リスクを大幅に減らすことができます。

この記事では、過去の主要ハッキング事件から学ぶべき教訓と、あなたの資産を守るための具体的な対策を解説します。

国内取引所のセキュリティ体制や補償制度についても詳しく紹介しますので、安心して仮想通貨投資を始められます。

監修者 SOICO株式会社

共同創業者＆取締役COO　土岐 彩花（どきあやか）

SOICO株式会社

慶應義塾大学在学中に19歳で起業し、2社のベンチャー創業を経験。大学在学中に米国UCバークレー校（Haas School of Business, University of California, Berkeley）に留学し、経営学、マーケティング、会計、コンピュータ・サイエンスを履修。新卒でゴールドマン・サックス証券の投資銀行本部に就職し、IPO含む事業会社の資金調達アドバイザリー業務・引受業務に従事。2018年よりSOICO株式会社の取締役COOに就任。

SOICO株式会社 X（旧Twitter）

仮想通貨のハッキング｜基本的な仕組みと被害の実態

仮想通貨のハッキングは、デジタル資産を狙ったサイバー攻撃です。ブロックチェーン技術は高い安全性を持ちますが、取引所やウォレットの管理システムには脆弱性が存在します。ハッカーはこうした弱点を突いて、多額の仮想通貨を盗み出します。

ハッキングとは何か｜仮想通貨が狙われる理由

ハッキングとは、コンピュータシステムやネットワークに不正アクセスし、情報や資産を盗み出す行為です。仮想通貨が狙われる理由は主に3つあります。

まず、仮想通貨は匿名性が高く、一度送金されると取り消しが困難です。銀行振込と異なり、送金先を追跡しにくいため、犯罪者にとって好都合なのです。

次に、取引所やウォレットには多額の資産が集中しています。一度の攻撃で数百億円規模の被害が出ることもあり、ハッカーにとって効率的なターゲットとなります。さらに、仮想通貨業界は比較的新しく、セキュリティ体制が未成熟な事業者も存在します。

北朝鮮のラザルスグループは2024年だけで13.4億ドルの仮想通貨を盗んだとされています。

出典：Chainalysis

被害の実態｜2022年は約38億ドルの損失

2022年の仮想通貨ハッキング被害は深刻な規模に達しました。ブロックチェーン分析企業の調査によると、2022年には複数の取引所から合計約38億ドル（約5000億円）が盗まれました。これは2021年の33億ドルからさらに増加しています。

出典：Chainalysis

被害の大半は分散型金融（DeFi）プラットフォームに集中しています。ブロックチェーン間をつなぐ「ブリッジ」の脆弱性や、スマートコントラクトの欠陥を狙った攻撃が多く見受けられます。

一方で、2025年には詐欺や不正行為を含めた被害額が約170億ドル（約2.7兆円）に急増しています。この急増の主因は、AI技術を悪用したなりすまし型詐欺の爆発的な拡大です。

出典：Chainalysis

仮想通貨市場の拡大とともに、ハッキングのリスクも高まっているのが現状です。

出典：警察庁・FBI

個人と取引所、どちらが狙われやすい？

ハッキングの標的は取引所と個人ウォレットの両方に及びます。それぞれ異なるリスクがあります。

2022年3月のRonin Network事件では約800億円、2025年2月のBybit事件では約2200億円が盗まれました。一度の攻撃で巨額の被害が出るのが取引所ハッキングの特徴です。

出典：Chainalysis

一方、個人ウォレットを狙う攻撃も増加しています。フィッシング詐欺やマルウェアを使って秘密鍵を盗み出す手口が一般化しています。2024年にはフィッシング詐欺による被害額が10億ドルを超え、秘密鍵の漏洩による被害も8億5500万ドルに達しました。

出典：Chainalysis

どちらが狙われやすいかは状況によります。取引所は高度なセキュリティ対策を講じていますが、一度突破されると被害が大きくなります。個人ウォレットは攻撃の対象になりにくいものの、セキュリティ知識が不足していると簡単に被害に遭います。

出典：金融庁

過去の主要ハッキング事件8選｜被害額と手口を解説

仮想通貨の歴史には、数百億円規模の巨額ハッキング事件が刻まれています。ここでは被害額の大きかった8つの事件を取り上げ、その手口と教訓を解説します。

Ronin Network（2022年）｜約800億円の被害

2022年3月、人気ブロックチェーンゲーム「Axie Infinity」のサイドチェーンRonin Networkが史上最大級のハッキング被害を受けました。被害額は約6億2500万ドル（当時のレートで約800億円）に達しました。

出典：Kaspersky

攻撃者は9つあるバリデータノードのうち5つを乗っ取ることに成功しました。手口はソーシャルエンジニアリングです。Sky Mavisの従業員を標的にスパイウェアを仕込み、秘密鍵を盗み出しました。

この間に攻撃者は17万3600ETHと2550万USDCを引き出しています。北朝鮮のラザルスグループの関与が指摘されています。

Sky Mavisは大手取引所Binanceから1億5000万ドルを調達し、ユーザーへの全額補償を行いました。この事件は、DeFiやGameFiを標的とした国家レベルのサイバー攻撃の脅威を世界に知らしめました。

Poly Network（2021年）｜約700億円の被害

2021年8月、異なるブロックチェーン間でトークンを移動させるプロトコルPoly Networkが攻撃を受けました。被害額は約6億1100万ドル（当時のレートで約700億円）に達し、当時としては史上最大規模のハッキング事件となりました。

出典：Kaspersky

攻撃者はPoly Networkソフトウェアの脆弱性を悪用し、イーサリアム、BSC、Polygonの3つのチェーンから資産を盗み出しました。スマートコントラクトの設計上の欠陥が原因とされています。

ハッカーは「脆弱性を証明するため」に攻撃を実行したと主張し、Poly Networkが提供した脆弱性報奨金の受け取りも拒否しました。

この事件は、DeFiプロトコルのスマートコントラクトに潜む脆弱性の危険性を浮き彫りにしました。複数のブロックチェーンを接続する仕組みは便利ですが、セキュリティリスクも高まります。

コインチェック事件（2018年）｜約580億円のNEM流出

2018年1月、国内取引所コインチェックから約580億円相当のNEM（ネム）が流出しました。日本の仮想通貨業界に大きな衝撃を与えた事件です。

出典：マネックスクリプトバンク

当時、コインチェックは顧客のNEMをインターネットに接続されたホットウォレットで管理しており、マルチシグ（複数署名）にも対応していませんでした。

この事件を受けて、コインチェックは自己資金で顧客に返金を行いました。また、金融庁は仮想通貨交換業者への規制を強化し、コールドウォレット管理の義務化などを進めました。

出典：金融庁

Mt.Gox（マウントゴックス）事件（2014年）｜約470億円のBTC消失

2014年2月、当時世界最大のビットコイン取引所だったMt.Goxがハッキング被害を受けました。約85万BTC（当時のレートで約470億円）が流出し、取引所は破綻しました。

出典：マネックスクリプトバンク

セキュリティの問題を抱え続けながら運営を続けた結果、最終的に致命的な被害を受けたのです。

この事件により、仮想通貨業界全体の信頼が大きく揺らぎました。ビットコインの価格も一時暴落し、多くの投資家が資産を失いました。

Mt.Gox事件は、取引所のセキュリティと資産管理の重要性を世界に知らしめました。多くの取引所がこの事件を機にセキュリティ対策を強化し、規制当局も監督体制を整備するきっかけとなりました。現在も破産手続きが続いており、一部の債権者への返済が進められています。

BNB Bridge（2022年）｜約150億円の被害

2022年10月、大手取引所BinanceのBSC Token Hubがハッキング攻撃を受けました。約200万BNB（約830億円相当）が不正に発行され、攻撃者は約146億円相当を盗み出しました。

出典：マネックスクリプトバンク

BSC Token Hubは異なるブロックチェーン間でトークンを移送するツールですが、単一のブロックチェーンと比べて脆弱性が高いとされています。

Binanceは迅速に対応し、資産凍結を実施しましたが、一部は攻撃者によって持ち去られました。この事件はDeFi業界に衝撃を与えましたが、クロスチェーンブリッジはDeFiに欠かせない技術であり、ブロックチェーンのスケーラビリティ問題を解決する重要な役割を担っています。

ブリッジ攻撃は2022年に多発しており、セキュリティ対策の強化が急務となっています。複数のブロックチェーンを接続する仕組みは便利ですが、それだけリスクも高まるのです。

Wormhole（2022年）｜約360億円の被害

2022年2月、イーサリアムとSolanaを接続するブリッジプロトコルWormholeが攻撃を受けました。被害額は約3億2000万ドル（当時のレートで約360億円）に達しました。

攻撃者はWormholeのスマートコントラクトの脆弱性を悪用し、約12万wETH（Wrapped Ether）を不正に発行・窃取しました。ブリッジの検証メカニズムに欠陥があったことが原因とされています。

この事件は、ブリッジプロトコルのセキュリティリスクを改めて浮き彫りにしました。

2022年はブリッジを標的としたハッキングが多発した年でした。異なるブロックチェーン間を接続する技術は、DeFiの発展に不可欠ですが、セキュリティ面での課題も多く残されています。

Bitfinex（2016年）｜約80億円のBTC盗難

2016年8月、大手取引所Bitfinexがハッキングされ、約12万BTC（当時のレートで約80億円）が盗まれました。当時としては最大規模のビットコイン盗難事件でした。

複数の署名が必要な仕組みでしたが、セキュリティパートナーのBitGoとの連携に問題があったとされています。

Bitfinexは顧客の損失を一律36%削減する形で対応し、後に独自トークンを発行して補償を行いました。2022年2月、米国当局は盗まれた資金の大部分を回収し、マネーロンダリングに関与した2名を逮捕しました。

この事件は、マルチシグなどの高度なセキュリティ対策を講じていても、実装や運用に問題があれば被害を受ける可能性があることを示しました。

Bybit（2025年）｜約1,700億円の被害

2025年2月21日、大手海外取引所Bybitが仮想通貨史上最大規模のハッキング被害を受けました。被害額は約15億ドル（約2200億円）に達し、過去最大のハッキング事件となりました。

出典：Chainalysis

マルチシグ管理されたETHコールドウォレットから約40万1000ETHが流出しました。手口はソーシャルエンジニアリングで、署名者に偽のユーザーインターフェースを提示し、悪意のあるトランザクションに署名させたとされています。

この事件は、最も強固とされるコールドウォレットやマルチシグ保護でさえ、人的要因が最も脆弱な部分であることを示しました。UI操作やソーシャルエンジニアリングによって、最も安全とされるウォレットでさえ危険にさらされる可能性があるのです。

ハッキングの手口5つ｜攻撃パターンを理解する

ハッカーは様々な手法を駆使して仮想通貨を狙います。主な攻撃パターンを理解することで、自衛策を講じることができます。

フィッシング詐欺｜偽サイトやメールで秘密鍵を盗む

フィッシング詐欺は、実在する取引所やウォレットサービスを装った偽サイトに誘導し、ログイン情報や秘密鍵を盗み出す手口です。仮想通貨ハッキングで最も一般的な手法の一つです。

攻撃者は本物そっくりの偽メールを送信し、「アカウントに不審なアクセスがありました」「キャンペーン当選のお知らせ」といった文面で偽サイトへ誘導します。偽サイトは本物と見分けがつかないほど精巧に作られており、URLのわずかな違い（例：coincheck.comではなくcoincheckk.com）で判別する必要があります。

2025年には「Lighthouse」と呼ばれる中国語圏のフィッシング・アズ・ア・サービスが横行し、テンプレート化された偽サイトや検知回避機能を備えた「初心者向け詐欺キット」が500ドル未満で入手可能になっています。

出典：Chainalysis

対策としては、メールやSMSのリンクを安易にクリックせず、必ず公式サイトをブックマークしておき、そこからアクセスすることが重要です。URLを必ず確認し、少しでも違和感があればアクセスを避けましょう。

マルウェア感染｜ウイルスでパソコンやスマホを乗っ取る

マルウェアは、悪意のあるソフトウェアの総称です。パソコンやスマートフォンに感染させることで、秘密鍵やパスワードを盗み出したり、遠隔操作で不正送金を行います。

2025年12月には、Windows向けインフォスティーラー型マルウェア「Stealka」が確認されました。このマルウェアは100以上のブラウザと115のブラウザ拡張機能を標的とし、ログイン情報や暗号化された秘密鍵を含む設定ファイルを抽出します。

マルウェアに感染すると、ウォレットのシードフレーズやパスワードが盗まれ、資産が完全に奪われる可能性があります。ハードウェアウォレットを使用していても、シードフレーズが流出すると資産が抜かれてしまいます。

対策としては、ソフトウェアの定期的なアップデート、信頼できる提供元からのみのダウンロード、不審なメールやリンクへの警戒が重要です。セキュリティソフトを最新の状態に保ち、定期的なスキャンを実施しましょう。

ブリッジ攻撃｜異なるブロックチェーン間の橋を狙う

ブリッジ攻撃は、異なるブロックチェーン間でトークンを移動させる「ブリッジ」の脆弱性を悪用する手口です。2022年に多発し、大きな被害を出しました。

ブリッジは、イーサリアムからBSC（Binance Smart Chain）へトークンを移動させるなど、複数のブロックチェーンを接続する役割を果たします。単一のブロックチェーンと比べて複雑な仕組みのため、脆弱性が生じやすいのです。

2022年3月のRonin Network事件（約800億円）、2022年2月のWormhole事件（約360億円）、2022年10月のBNB Bridge事件（約146億円）など、ブリッジを標的とした攻撃が相次ぎました。

ブリッジの安全性を高めるには、プラットフォームの複雑なコードに対する監視と監査の強化が必要です。ただでさえ難解なプラットフォームを連結するサービスは、広範かつ継続的な検証なしでは構築できません。

利用者としては、ブリッジを使用する際には信頼できるプラットフォームを選び、大きな金額を一度に移動させないなどのリスク管理が重要です。

DeFiの脆弱性｜スマートコントラクトの欠陥を悪用

DeFi（分散型金融）プラットフォームは、スマートコントラクトと呼ばれる自動実行プログラムで動作します。このコードに欠陥があると、攻撃者に悪用されて資産が盗まれます。

DeFiの理念として、オープンソースによる開発が重要な要素となっています。ユーザーがコードを監査できるようになっている必要がありますが、それは同時に、攻撃者が事前に脆弱性を発見し悪用できることも意味します。

フラッシュローンは担保を必要としない瞬間的な融資で、これを利用して市場操作やプロトコルの脆弱性を悪用し、大きな利益を得ます。

2025年11月には、大手DeFiプロトコルBalancerが約1億2800万ドル（約190億円）のハッキング被害を受けました。Balancerは2020年の稼働以来10回以上のセキュリティ監査を受けていましたが、バッチスワップにおけるプール価格の計算ロジックの脆弱性を突かれました。

DeFiプラットフォームを利用する際は、監査実績や運営実績を確認し、大きな金額を預けないなどのリスク管理が必要です。

内部犯行・鍵盗難｜取引所内部からの不正アクセス

内部犯行や秘密鍵の盗難は、取引所やプロジェクトの関係者が関与する攻撃です。外部からの攻撃と異なり、内部の人間が特権的なアクセス権を悪用します。

2022年のRonin Network事件では、ソーシャルエンジニアリングによって従業員を標的にスパイウェアを仕込み、秘密鍵を盗み出しました。管理者権限を持つアカウントを乗っ取ることで、セキュリティを突破したのです。

2024年にはフィッシング詐欺に次いで、秘密鍵の漏洩が2番目に大きな脅威となりました。65件の事件で8億5500万ドル以上が盗まれています。

出典：Chainalysis

取引所側の対策としては、マルチシグ（複数署名）の導入、権限の分散、従業員へのセキュリティ教育が重要です。2025年のBybit事件では、マルチシグ保護があっても、UI操作やソーシャルエンジニアリングによって突破されました。人的要因が最も脆弱な部分であることが改めて示されたのです。

利用者としては、取引所のセキュリティ体制や過去のインシデント対応実績を確認し、信頼できる事業者を選ぶことが重要です。

取引所のセキュリティ対策｜金融庁登録業者の安全性

国内の金融庁登録業者は、厳格な規制のもとで高度なセキュリティ対策を実施しています。ここでは主要な対策を解説します。

コールドウォレット管理｜資産の95%以上をオフライン保管

コールドウォレットとは、インターネットに接続されていない環境で仮想通貨を保管する方法です。ハッカーがネットワーク経由でアクセスできないため、最も安全な保管方法とされています。

残りの5%はホットウォレット（ネット接続）で管理されますが、同額以上の弁済原資を保持する必要があります。

出典：金融庁

コールドウォレットには、ハードウェアウォレット、ペーパーウォレット、エアギャップ（物理的に隔離された）デバイスなど、様々な形態があります。取引所は複数のコールドウォレットに資産を分散して保管することで、リスクを軽減しています。

2025年のBybit事件では、コールドウォレットからウォームウォレットへの資金移動プロセスが狙われました。最も強固とされる保管方法でも、運用面での人的ミスがあれば突破される可能性があります。

国内取引所を選ぶ際は、コールドウォレット管理率や資産の分別管理状況を確認しましょう。公式サイトで情報を公開している取引所は、透明性が高く信頼できる傾向にあります。

マルチシグ対応｜複数の承認で不正送金を防ぐ

マルチシグ（マルチシグネチャー）は、仮想通貨の送金に複数の署名（承認）を必要とする仕組みです。一つの秘密鍵が盗まれても、他の署名がなければ送金できないため、セキュリティが大幅に向上します。

例えば、5つの鍵のうち3つの署名が必要な「3-of-5マルチシグ」では、ハッカーが1つや2つの鍵を盗んでも送金できません。複数の担当者や物理的に離れた場所に鍵を分散することで、内部犯行のリスクも軽減できます。

国内の主要取引所は、大口の送金や重要な操作にマルチシグを導入しています。bitFlyerは国内で他の取引所に先駆けてマルチシグを導入し、創業以来ハッキング被害ゼロを継続しています。

2022年のRonin Network事件では、9つのバリデータのうち5つが乗っ取られ、マルチシグが突破されました。2025年のBybit事件でも、マルチシグ保護があったにもかかわらず、ソーシャルエンジニアリングによって署名者が騙され、被害が発生しました。

マルチシグは強力なセキュリティ対策ですが、運用体制や従業員教育も同様に重要です。

二段階認証｜SMS・アプリ認証で不正ログインを防止

二段階認証は、パスワードに加えて追加の認証を要求することで、不正ログインを防ぐ仕組みです。パスワードが盗まれても、二段階認証があれば攻撃者はログインできません。

主な方式は2つあります。SMS認証は、携帯電話番号に送られる認証コードを入力する方法です。手軽ですが、SIMスワップ攻撃（携帯番号の乗っ取り)のリスクがあります。アプリ認証は、Google AuthenticatorやAuthyなどの専用アプリで生成される時間制限付きコードを使用します。SMS認証より安全性が高いとされています。

多くの取引所では、ログイン時だけでなく、出金や重要な設定変更時にも二段階認証を要求します。

利用者としては、必ず二段階認証を有効化しましょう。SMS認証よりもアプリ認証の方が安全性が高いため、可能であればアプリ認証を選択してください。また、認証アプリのバックアップコードは安全な場所に保管しましょう。

二段階認証は基本的なセキュリティ対策ですが、それだけで十分ではありません。フィッシング詐欺で偽サイトに二段階認証コードを入力してしまうと、攻撃者はリアルタイムでそのコードを使ってログインできます。正しいサイトにアクセスしていることを必ず確認しましょう。

セキュリティ監査｜第三者機関による定期チェック

セキュリティ監査は、専門の第三者機関が取引所のシステムやスマートコントラクトを検証し、脆弱性を発見・修正するプロセスです。定期的な監査により、新たな脅威に対応できる状態を維持します。

監査では、スマートコントラクトのコードレビュー、インフラのセキュリティチェック、運用体制の評価などが行われます。発見された脆弱性は優先度に応じて修正され、監査レポートが公開されることもあります。

国内の主要取引所は、定期的にセキュリティ監査を受けています。監査実績や監査レポートを公開している取引所は、透明性が高く信頼できる傾向にあります。

2025年11月のBalancer事件では、10回以上の監査を受けていたにもかかわらず、バッチスワップの脆弱性が見過ごされ、約190億円の被害が発生しました。この事件は「監査済み」という言葉がDeFiの安全性を保証するものではないことを示しています。

監査は重要なセキュリティ対策ですが、それだけに頼らず、複数の対策を組み合わせることが重要です。利用者としては、監査実績に加えて、過去のセキュリティインシデントへの対応実績も確認しましょう。

補償制度と資産保全｜ハッキング被害時の対応

万が一ハッキング被害に遭った場合、補償制度や資産保全の仕組みが重要になります。国内取引所の対応を理解しておきましょう。

取引所の補償制度｜どこまでカバーされる？

国内取引所の補償制度は、各社によって内容が大きく異なります。すべての被害が補償されるわけではなく、条件や上限額が設定されています。

一部の取引所は、不正ログインによる被害に対して補償を提供しています。例えば、二段階認証を設定していた場合に限り、一定額まで補償するといった条件が設けられています。ただし、利用者自身の過失（パスワードの使い回し、フィッシング詐欺への引っかかりなど）による被害は補償対象外となることが多いです。

2018年のコインチェック事件では、取引所が自己資金で顧客に返金を行いましたが、これは法的義務ではなく自主的な対応でした。2025年のBybit事件でも、CEOは損失を自社資金でカバーできると表明しましたが、海外取引所であるため日本の法律による保護は受けられません。

重要なのは、仮想通貨には銀行預金のような公的な元本保証（ペイオフ）がないことです。「保険があるから安心」という表現は誤解を招きます。一部取引所の「盗難補償制度」も、警察への被害届が必須、上限額ありなど条件が厳しい場合があります。

利用規約や公式サイトで補償内容（上限額、対象条件）を事前に確認しましょう。補償があっても、条件を満たさなければ適用されません。

分別管理と信託保全｜顧客資産の保護の仕組み

分別管理とは、顧客の資産と取引所の自己資産を分けて管理する仕組みです。国内の登録業者は、資金決済法により分別管理が義務付けられています。

出典：金融庁

具体的には、顧客の仮想通貨は取引所の自己資産とは別のウォレットで管理され、顧客の日本円は信託会社等に信託することが義務付けられています。これにより、取引所が破綻しても、顧客資産は保全されます。

信託保全は、顧客の日本円を信託銀行などに預けることで、取引所が破綻しても顧客に返還される仕組みです。銀行預金のペイオフとは異なりますが、一定の保護が期待できます。

ただし、分別管理や信託保全があっても、ハッキングによって仮想通貨自体が盗まれた場合は、必ずしも全額が返還されるとは限りません。取引所の財務状況や保険加入状況によって、補償の内容は異なります。

海外の無登録業者は、日本の法律による分別管理の義務がありません。Bybitのような大手取引所であっても、日本居住者が利用する場合は法的保護が限定的です。資産保全を重視するなら、国内の金融庁登録業者を選ぶことをおすすめします。

出典：金融庁

ハッキング被害時の法的対応｜警察への届出と証拠保全

ハッキング被害に遭った場合、迅速な対応が被害の拡大を防ぎ、資産回収の可能性を高めます。以下の手順を踏みましょう。

まず、被害に気づいたらすぐに取引所に連絡し、アカウントの凍結を依頼します。不正送金が続いている場合、早期の対応で被害を最小限に抑えられます。同時に、パスワードや二段階認証の設定を変更し、他のアカウントでも同じパスワードを使っている場合は変更しましょう。

次に、証拠を保全します。不正な取引の履歴、送金先アドレス、フィッシングメールやSMSのスクリーンショット、ログイン履歴などを記録しておきましょう。ブロックチェーン上の取引記録は公開されているため、送金先アドレスを特定できれば追跡の手がかりになります。

警察への届出も重要です。最寄りの警察署または都道府県警察のサイバー犯罪相談窓口に相談しましょう。被害届を提出することで、捜査が開始され、資産回収の可能性が高まります。また、取引所の補償制度を利用する際に、警察への届出が必須条件となっている場合もあります。

さらに、消費者ホットラインや金融サービス利用者相談室にも相談できます。法的な対応が必要な場合は、法テラス（日本司法支援センター）で弁護士に相談することも検討しましょう。収入・資産が一定基準以下の人は、無料法律相談や弁護士費用の立替制度を利用できます。

出典：法テラス

ハッキング被害からの資産回収は容易ではありませんが、早期の対応と適切な手続きにより、被害を最小限に抑えることができます。

自分でできるセキュリティ対策7つ｜資産を守る方法

取引所のセキュリティ対策に頼るだけでなく、自分自身でも対策を講じることが重要です。ここでは実践できる7つの対策を紹介します。

ハードウェアウォレットの活用｜秘密鍵をオフライン管理

ハードウェアウォレットは、秘密鍵をインターネットから完全に隔離して保管するデバイスです。USBメモリのような形状で、パソコンに接続して使用します。

秘密鍵がデバイス内部に保存され、外部に出ることがないため、マルウェアやフィッシング詐欺から資産を守れます。取引の署名もデバイス内で行われるため、パソコンがウイルスに感染していても安全です。

代表的な製品には、Ledger NanoシリーズやTrezorなどがあります。価格は1万円〜2万円程度で、長期保有する資産の保管に適しています。

シードフレーズは紙に書いて金庫など安全な場所に保管し、絶対にデジタルデータとして保存しないようにしましょう。

二段階認証を必ず有効化｜SMS・アプリ認証の設定

二段階認証は、不正ログインを防ぐ最も基本的で効果的な対策です。すべての取引所アカウントで必ず有効化しましょう。

SMS認証は手軽ですが、SIMスワップ攻撃のリスクがあります。可能であれば、Google AuthenticatorやAuthyなどのアプリ認証を選択してください。アプリ認証は、スマートフォンが手元にないとログインできないため、より安全です。

認証アプリのバックアップコードは、スクリーンショットではなく紙に書いて保管しましょう。スマートフォンを紛失しても、バックアップコードがあればアカウントを復旧できます。

必ず正しいサイトにアクセスしていることを確認しましょう。

パスワード管理の徹底｜使い回しを避ける

パスワードの使い回しは、最も危険な習慣の一つです。一つのサービスでパスワードが漏洩すると、同じパスワードを使っている他のアカウントもすべて危険にさらされます。

仮想通貨取引所のパスワードは、他のサービスと異なる複雑なものを設定しましょう。英語の大文字・小文字・数字・記号を混ぜて、12文字以上の推測されにくいパスワードを登録してください。

複数のパスワードを管理するには、パスワード管理ツール（1Password、LastPass、Bitwardenなど）の利用が便利です。これらのツールは、複雑なパスワードを自動生成し、暗号化して保存してくれます。

定期的なパスワード変更も、フィッシング対策に有効です。3ヶ月〜6ヶ月に一度は変更することをおすすめします。

フィッシング詐欺に注意｜公式URLを必ず確認

フィッシング詐欺は最も一般的な攻撃手法です。メールやSMSのリンクを安易にクリックせず、必ず公式サイトをブックマークしておき、そこからアクセスしましょう。

URLを必ず確認してください。偽サイトは本物と見分けがつかないほど精巧ですが、URLにわずかな違いがあります（例：coincheck.comではなくcoincheckk.com）。HTTPSで始まることを確認し、鍵マークが表示されているか確認しましょう。

取引所から「キャンペーン当選のお知らせ」といったメールが届いても、リンクをクリックせず、ブックマークした公式サイトから直接ログインして確認してください。

2025年には、AI技術を悪用したフィッシング詐欺が急増しています。自然な日本語文面や、リアルな映像・音声を用いて被害者の信頼を獲得する手口が一般化しています。どんなに本物らしく見えても、リンクをクリックする前に必ず確認する習慣を身につけましょう。

出典：Chainalysis

マルウェア対策ソフトの導入｜セキュリティソフトを最新に

マルウェアは、パソコンやスマートフォンに感染して秘密鍵やパスワードを盗み出します。信頼できるセキュリティソフトを導入し、常に最新の状態に保ちましょう。

代表的なセキュリティソフトには、ノートン、カスペルスキー、ウイルスバスターなどがあります。定期的なスキャンを実施し、不審なファイルやプログラムを検出しましょう。

OSやソフトウェアのアップデートも重要です。脆弱性を修正するセキュリティパッチが含まれているため、アップデート通知が来たら速やかに適用してください。

不審なメールの添付ファイルを開かない、信頼できないサイトからソフトウェアをダウンロードしないなど、基本的な注意も怠らないようにしましょう。ゲームチートやクラックツールを装ったマルウェアも多く確認されています。

資産の分散管理｜複数のウォレット・取引所に分ける

すべての資産を一箇所に集中させると、ハッキングや取引所の破綻時に全額を失うリスクがあります。資産を分散することで、リスクを軽減できます。

長期保有する資産はハードウェアウォレットに移し、取引に使う資産だけを取引所に置くようにしましょう。また、複数の取引所を使い分けることで、一つの取引所がハッキングされても他の資産は守られます。

ただし、複数のウォレットや取引所を管理する際は、それぞれのセキュリティ対策を徹底する必要があります。パスワードや秘密鍵の管理が煩雑になると、かえってリスクが高まる可能性もあります。

自分の投資スタイルやリスク許容度に応じて、適切な分散管理を行いましょう。

定期的なセキュリティチェック｜ログイン履歴を確認

定期的にアカウントのセキュリティ状況を確認することで、不正アクセスを早期に発見できます。多くの取引所では、ログイン履歴や操作履歴を確認できる機能があります。

週に一度は、以下の項目をチェックしましょう。ログイン履歴に見覚えのないアクセスがないか、出金履歴に不審な取引がないか、登録情報（メールアドレス、電話番号）が変更されていないか、二段階認証が有効になっているか、などです。

不審なアクセスを発見したら、すぐにパスワードを変更し、取引所に連絡しましょう。早期の対応が被害を最小限に抑えます。

また、使っていない取引所のアカウントは閉鎖することも検討しましょう。放置されたアカウントは、セキュリティ対策が疎かになりがちで、攻撃の標的になりやすいです。

2025-2026年の最新ハッキング動向｜新たな脅威と対策

仮想通貨ハッキングの手口は年々進化しています。最新の脅威を理解し、対策を講じることが重要です。

AIを活用した高度なフィッシング詐欺

2025年、AI技術を悪用したフィッシング詐欺が爆発的に増加しました。なりすまし詐欺は前年比1400%という異例の増加を記録し、詐欺や不正行為を含めた被害額は約170億ドル（約2.7兆円）に達しました。

出典：Chainalysis

AIを使った詐欺の特徴は、自然な言葉遣いや映像・音声により、被害者は相手を本物と信じ込みやすくなっていることです。ディープフェイク技術により、企業の幹部や著名人、政府関係者になりすます手口が横行しています。従来では見抜けたような不自然な日本語や文体の違和感もなくなりつつあります。

1件あたり平均320万ドル（約5億円）の被害が出ています。少人数・少資本で大量展開が可能であり、1人の詐欺グループがAIチャットとSMS送信ツールを使って、1日に数千件の詐欺メッセージを送信することも技術的に可能です。

出典：Chainalysis

対策としては、どんなに本物らしく見えても、投資勧誘や送金依頼には慎重に対応することです。動画や音声だけで信用せず、別の連絡手段で本人確認を行いましょう。「必ず儲かる」「今だけ」などの煽り文句には要警戒です。

DeFiプロトコルの脆弱性を狙った攻撃の増加

DeFi（分散型金融）プラットフォームへの攻撃は、2025年も続いています。スマートコントラクトの脆弱性を狙った攻撃が多発し、監査を受けたプロトコルでさえ被害を受けています。

2025年11月、大手DeFiプロトコルBalancerが約1億2800万ドル（約190億円）のハッキング被害を受けました。Balancerは2020年の稼働以来10回以上のセキュリティ監査を受けていましたが、バッチスワップにおけるプール価格の計算ロジックの脆弱性を突かれました。この事件は「監査済み」という言葉がDeFiの安全性を保証するものではないことを示しています。

DeFiの理念として、オープンソースによる開発が重要ですが、それは攻撃者が事前に脆弱性を発見し悪用できることも意味します。フラッシュローン攻撃や価格オラクルの操作など、DeFi特有の攻撃手法が進化しています。

DeFiプラットフォームを利用する際は、監査実績や運営実績を確認し、大きな金額を預けないなどのリスク管理が必要です。新しいプロトコルは特に慎重に評価しましょう。詳細は公式サイトでご確認ください。

国家レベルのサイバー攻撃｜北朝鮮・ロシア関与説

国家レベルのハッカー集団による攻撃が増加しています。特に北朝鮮のラザルスグループは、仮想通貨を標的とした組織的な攻撃を続けています。

ラザルスグループは2024年だけで13.4億ドルの仮想通貨を盗んだとされています。2022年のRonin Network事件（約800億円）、2024年のDMM Bitcoin事件（約482億円）、2025年のBybit事件（約2200億円）など、大規模な攻撃に関与していると分析されています。

出典：Chainalysis

2025年3月には、ラザルスは合計で13,518 BTCを保有していると報じられました。これにより、北朝鮮はアメリカとイギリスに次いで、世界で3番目に多くのビットコイン保有国になったともいわれています。

出典：Recorded Future

国家レベルの攻撃は、高度なソーシャルエンジニアリングや複雑なマネーロンダリングネットワークを駆使します。盗まれた資金はTornado Cashなどのミキサーを通じて洗浄され、追跡が困難になります。

個人でできる対策は限られますが、金融庁登録業者を選び、基本的なセキュリティ対策を徹底することが重要です。国際的な法執行機関の協力により、一部の資金は回収されていますが、完全な防止は困難な状況が続いています。

出典：金融庁

よくある質問（Q&A）

まとめ

仮想通貨のハッキングは、2022年に約38億ドル、2025年には詐欺を含めて約170億ドルと、深刻な被害が続いています。Ronin NetworkやBybitなど、数百億円規模の事件が相次ぎ、個人・取引所ともに狙われています。

出典：Chainalysis

しかし、適切な知識と対策を身につければ、リスクを大幅に減らすことができます。国内の金融庁登録業者は、コールドウォレット管理95%以上、マルチシグ対応、二段階認証など、厳格な規制のもとで高度なセキュリティ対策を実施しています。分別管理や信託保全により、取引所が破綻しても顧客資産は一定程度保全されます。

出典：金融庁

個人でできる対策も重要です。ハードウェアウォレットの活用、二段階認証の有効化、パスワードの使い回しを避ける、フィッシング詐欺に注意する、マルウェア対策ソフトの導入、資産の分散管理、定期的なセキュリティチェックなど、7つの自衛策を実践しましょう。

2025年以降は、AI技術を悪用したフィッシング詐欺や、DeFiプロトコルの脆弱性を狙った攻撃、国家レベルのサイバー攻撃など、新たな脅威が増加しています。最新の情報を収集し、対策をアップデートし続けることが重要です。

仮想通貨投資にはリスクが伴いますが、正しい知識と対策で資産を守ることができます。金融庁登録業者を選び、自衛策を実践し、安心して仮想通貨投資を始めましょう。

出典：金融庁

監修者 SOICO株式会社

共同創業者＆取締役COO　土岐 彩花（どきあやか）

SOICO株式会社

慶應義塾大学在学中に19歳で起業し、2社のベンチャー創業を経験。大学在学中に米国UCバークレー校（Haas School of Business, University of California, Berkeley）に留学し、経営学、マーケティング、会計、コンピュータ・サイエンスを履修。新卒でゴールドマン・サックス証券の投資銀行本部に就職し、IPO含む事業会社の資金調達アドバイザリー業務・引受業務に従事。2018年よりSOICO株式会社の取締役COOに就任。

SOICO株式会社 X（旧Twitter）