「このサービスは第三者機関のセキュリティ監査済みって書いてあるから安心かな」
「監査済みなのにハッキングされたってニュース、最近もよく見る気がするんだけど…」
結論から言うと、「セキュリティ監査済み」という表示は、そのサービスが安全である保証にはなりません。仮想通貨データサイト大手のCoinGeckoが2026年8月27日に公表したレポートによると、2025年1月から2026年7月までの約19ヶ月間にハッキング被害を受けた仮想通貨プラットフォーム245件のうち、約6割にあたる147件は被害を受ける前に独立した第三者機関によるセキュリティ監査を受けていました。この記事では、このレポートが示す数字から、初心者が仮想通貨の取引所・サービス選びで意識しておきたい視点を解説します。
なお、仮想通貨は株式以上に値動きが大きく、ハッキングや詐欺による資産消失リスクもある金融商品です。本記事は特定の取引所・銘柄の売買を推奨するものではなく、情報提供を目的としています。投資は必ず余剰資金の範囲で、自己責任のもと行ってください。
ニュースの要点整理 CoinGeckoの「2026年版 暗号資産セキュリティ報告書」
CoinGeckoが公表した「State of Crypto Security Report 2026」は、2025年1月〜2026年7月の約19ヶ月間に発生した仮想通貨プラットフォームへの攻撃・不正流出を集計したレポートです。主な内容を整理すると、次のとおりです。
- 被害総額：約3.63億ドル(執筆時点のレートで換算すると概算で数百億円規模、報道によっては約5,800億円規模とも紹介されています。ドル建ての数字ですので、円換算額は為替レートにより変動する目安として捉えてください)
- 被害件数：245件
- 被害の集中度：被害額の上位10件だけで、全体の被害額の72.5%以上を占めた
- 原因別の被害額（最大の要因）：取引所やサービスの「インフラ・サプライチェーンの脆弱性」を突かれた被害が18億ドル超と、単一の原因としては最大
- 中央集権型取引所（CEX）：秘密鍵（プライベートキー）の窃取・漏えいが主な原因として目立った
- 分散型アプリ（dApps）：スマートコントラクトの不具合を突かれた被害が5億4,600万ドルに上った
- 監査と被害の関係：被害を受けた245のプラットフォームのうち147（約6割）は、事前に独立した第三者機関によるセキュリティ監査を受けていた。一方で、実際に悪用された欠陥が「監査の対象範囲に含まれていた」ケースは全体の11%にとどまった
- 保険の状況：主要な暗号資産向け保険プロトコルの補償可能総額は、1億6,320万ドルから1億3,020万ドルへと20.2%減少した
📰 出典：CoinGecko「2026 State of Crypto Security Report」
このレポートで最大規模の被害として名前が挙がっているのが、2025年に発生した大手取引所Bybitの事案（約14.3億ドル相当）と、DeFiサービスKelpの事案（約2.92億ドル相当)です。いずれも、コインの設計や取引の仕組みそのものではなく、取引所・サービス側の運用基盤（インフラ）や、開発・運用に関わる外部業者を経由した「サプライチェーン」の弱点を突かれた攻撃だったと報じられています。
📰 出典：CoinGecko「2026 State of Crypto Security Report」
そもそも「セキュリティ監査」とは何をしているのか
仮想通貨業界で「セキュリティ監査(オーディット)」と呼ばれるものの多くは、外部の専門会社がスマートコントラクトのプログラムコードを1行ずつ点検し、資金を抜き取れるような欠陥(バグ)がないかを確認する作業です。監査を終えると「◯◯社による監査済み」というレポートが公開され、サービス側もそれを信頼性のアピール材料として使うことが一般的になっています。
ただし、この監査が対象にしているのは、あくまで「プログラムのロジックに欠陥がないか」という範囲に限られることが多く、次のような部分は対象外になりやすいというのが実務上の特徴です。
- 運営会社の社内システム・従業員のパソコンやアカウントが乗っ取られるリスク
- 外部委託先(開発ベンダー、クラウドサービス等)を経由した侵入経路
- 秘密鍵の保管方法や、担当者の内部不正
- 監査後にコードが変更・アップデートされた部分
今回のCoinGeckoのレポートが示した「インフラ・サプライチェーンの脆弱性」による被害額の大きさは、まさにこうした「監査の対象範囲外」で多くの被害が発生していることを裏付けている、と読むことができます。
筆者の私見 「監査済み」の意味を正しく理解する
ここからは筆者の私見です。このレポートを見て筆者が特に重要だと感じたのは、「監査を受けていたかどうか」と「実際に悪用された欠陥が監査の対象に含まれていたかどうか」は、まったく別問題だという点です。
一般的に「セキュリティ監査」と呼ばれるものの多くは、スマートコントラクト(ブロックチェーン上で自動実行されるプログラム)のコードに欠陥がないかを専門家がチェックする作業を指すことが多く、取引所の内部システムの運用体制や、外部委託先(サプライチェーン)の管理体制まで網羅的に検証しているとは限りません。今回のレポートで最大の被害要因とされた「インフラ・サプライチェーンの脆弱性」は、こうした従来型の監査の対象範囲から外れやすい領域だと筆者は理解しています。
つまり、「監査済み」という表示だけを見て「専門家がお墨付きを与えた=安全」と短絡的に判断するのは危険だと考えます。監査の中身(何を対象にどこまで検証したか)を確認しないまま安心材料として受け取ってしまうと、かえってリスクへの警戒が薄れてしまう可能性がある、という点は初心者ほど意識しておきたいところです。
資産形成への発展 「監査済み」を過信せず、複数の視点で確認する
この報告から、仮想通貨を保有・取引する際に意識しておきたい実践的なポイントを整理します。
- 国内であれば金融庁登録の暗号資産交換業者を選ぶ:日本国内で暗号資産交換業を営むには金融庁への登録が必要で、登録業者には利用者資産の分別管理などのルールが課されています。無登録の海外業者への安易な資金移動は避けましょう。
- 「監査済み」の表示だけで安心しない:監査を実施した機関名や、監査の対象範囲(スマートコントラクトのみか、運用体制も含むか)を確認する習慣を持つことが大切です。
- 保有資産を1つのサービスに集中させない:今回のレポートでも上位10件の被害だけで被害額の7割超を占めており、大規模プラットフォームであっても被害を完全には避けられていません。長期保有分は自己管理のウォレット(ハードウェアウォレット等)に分散する、複数の取引所を使い分けるといった分散の発想が有効です。
- 保険・補償制度の有無と範囲を確認する:レポートでは業界全体の保険適用余力が減少傾向にあることも示されています。利用しているサービスに補償制度があるか、あるとしてどこまでの被害を対象にしているかを事前に確認しておきましょう。
- 入出金・ログイン周りのセキュリティ設定を自分でも固める:二段階認証の設定、パスワードの使い回しを避ける、フィッシングサイトへの注意など、利用者側でできる基本的な対策も引き続き重要です。
国内登録業者と海外取引所の違いも押さえておく
日本国内で暗号資産交換業を行うには、資金決済法に基づき金融庁への登録が必要です。登録業者には、利用者から預かった金銭・暗号資産を自社の資産と分けて管理する「分別管理」の義務や、行政による監督・検査といった一定の規制がかかります。
一方、海外の無登録業者は、こうした国内ルールの対象外です。表示上の利回りや手数料の安さだけで判断し、無登録の海外サービスに大きな資金を移すことは、今回のレポートが示すようなインフラ面のリスクに加えて、トラブル時に日本の法律・行政による保護が及びにくいという別のリスクも背負うことになります。まずは金融庁の登録業者一覧で、利用しようとしているサービスが登録済みかどうかを確認する習慣を持ちましょう。
📰 出典：金融庁「暗号資産交換業者登録一覧」
具体的なアクション・心構え
- 新しく取引所やサービスを使い始める前に、金融庁の暗号資産交換業者登録一覧で登録の有無を確認する
- 「監査済み」「セキュリティ最高水準」といった宣伝文句を見たら、一次情報(監査報告書の要約や監査機関名)を探す習慣をつける
- 長期保有する分は、取引所に預けっぱなしにせず、自己管理のウォレットへの移動も検討する(その場合は秘密鍵・シードフレーズの管理リスクを別途理解する必要があります)
- 余剰資金の範囲で、複数のサービス・資産に分けて保有する
これらはいずれも「絶対に安全な方法」ではなく、リスクを完全にゼロにする手段ではありません。仮想通貨である以上、ハッキング・システム障害・サービス停止といった可能性は常につきまとうという前提を持っておくことが大切です。
注意点・NG行動
- 「大手だから」「監査済みだから」という理由だけで、資産を1か所に集中させること
- 高い利回りや過度な安全性をうたう無登録業者・怪しい勧誘に安易に応じること
- セキュリティ関連のニュースを見て慌てて特定のサービスを解約・移管する前に、公式発表で事実関係を確認すること(未確認の噂で行動しない)
- 「絶対に安全な取引所」「ハッキングされない方法」といった断定的な情報を鵜呑みにすること
まとめ 「監査済み」は安心材料の1つに過ぎない
CoinGeckoのレポートが示すとおり、セキュリティ監査を受けていたプラットフォームでも、監査の対象範囲外の弱点を突かれて大きな被害を受けるケースは少なくありません。「監査済み」という表示は判断材料の1つにはなりますが、それだけで安全性を保証するものではないという前提を持ち、金融庁登録業者の利用、資産の分散、自己管理ウォレットの活用といった基本的な対策を積み重ねていくことが、仮想通貨と付き合ううえでの現実的な考え方だと言えるでしょう。
なお、仮想通貨の売買で得た利益は原則として雑所得に区分され、確定申告が必要になる場合があります。税務の具体的な取り扱いは国税庁や税理士に確認することをおすすめします。本記事は情報提供を目的としたものであり、特定の暗号資産・取引所の利用を推奨するものではありません。投資判断は最終的にご自身の責任で行ってください。
