CertiKの年次セキュリティレポート：Web3の損失は2025年に前年比37％増加し、フィッシング攻撃とサプライチェーンインシデントが大きな脅威となる

世界最大のWeb3セキュリティ企業であるCertiKは12月23日、「2025年版Skynet Hack3D Web3セキュリティレポート」を発表した。このレポートでは、過去1年間のWeb3分野における主要なセキュリティインシデントとリスク動向を体系的にレビューしている。レポートでは、市場環境の回復と規制への期待の明確化を背景に、Web3業界は発展を加速させているものの、セキュリティリスクはそれに応じて軽減されておらず、依然として体系的なセキュリティ課題に直面していると指摘している。

報告書によると、2025年にはWeb3領域で630件のセキュリティインシデントが発生し、総損失は約33億5,000万米ドルとなり、2024年と比較して37%増加しました。インシデント件数は前年比137件減少しましたが、攻撃1件あたりの平均損失は532万2,000米ドルに達し、前年比66.6%増と急増しており、攻撃者が価値の高いターゲットに集中している傾向が浮き彫りになっています。

サプライチェーン攻撃により年間損失が増加

攻撃の種類別に見ると、サプライチェーン攻撃が2025年の最大の損失源として浮上しました。年間を通して関連インシデントはわずか2件しか記録されていませんでしたが、累積損失は14億5000万ドルに達し、年間総損失のほぼ半分を占めました。これらの損失の大部分は、2月に発生したBybitインシデントによるものでした。

報道によると、Bybitは2025年2月にセキュリティインシデントに見舞われ、約14億ドルの損失が発生しました。これは、これまでで最大規模の暗号資産盗難の一つと考えられています。攻撃者は取引所のシステムに直接侵入したのではなく、サードパーティのマルチシグウォレットサービスプロバイダーの開発環境に侵入し、署名プロセスに悪意のあるコードを埋め込み、複数の承認メカニズムを回避しました。

CertiK はレポートの中で、同様のインシデントは、攻撃者が単一のプロトコル自体ではなく、重要なサービス プロバイダーと基盤となるツールにリソースを集中していることを反映しており、サプライ チェーンのセキュリティは無視できない体系的なリスクになっていると指摘しています。

フィッシング攻撃が横行しており、AI が「増幅器」として機能している。

攻撃頻度の点では、フィッシングは2025年も依然として最も一般的なセキュリティ脅威です。レポートによると、年間を通じて合計248件のフィッシング攻撃が記録され、約7億2,300万ドルの損失が発生しました。これは、コード脆弱性攻撃の件数（240件）をわずかに上回っています。

CertiKは、この数字はまだ過小評価されている可能性があると考えている点に注目すべきです。個人ユーザーを狙ったフィッシングや詐欺の多くは報告されておらず、特に被害額が少額のソーシャルエンジニアリング攻撃やオフチェーンで発生する攻撃は顕著です。

本レポートは、人工知能（AI）の普及により、フィッシング攻撃に対する技術的障壁が大幅に低下していることを強調しています。攻撃者はAIを活用し、非常にリアルなフィッシングサイト、ウォレットポップアップ、多言語の詐欺メッセージを作成し始めており、これらをオンチェーンデータやソーシャルメディアコンテンツと組み合わせることで「精密なターゲティング」を実現しています。文法エラーやテンプレートの特徴に頼る従来の防御策は、徐々に効果を失いつつあります。

規制が明確になるにつれ、安全性は「コスト項目」から「インフラ」の焦点へと移行しています。

リスクが高まる一方で、レポートでは世界的な規制環境における前向きな変化も指摘しています。米国におけるステーブルコインとデジタル資産の透明性に関する法整備の進展は、業界に対しより明確な政策シグナルを送っています。また、EUのMiCAフレームワーク、そしてシンガポールと香港の規制サンドボックスも、Web3をより標準化された開発段階へと押し進めています。

CertiKのレポートは、機関投資家やコンプライアンス遵守を重視する投資家からの資金が市場に参入し続けるにつれ、セキュリティ機能は「事後対応」からプロジェクトの設計・運用におけるインフラ要素へと移行しつつあると指摘しています。プロジェクトオーナーと個人ユーザーの両方にとって、セキュリティはもはや選択肢ではなく、長期的な存続を左右する重要な変数となっています。

レポートは、AIを活用したスプーフィング攻撃、ますます巧妙化するサプライチェーンへの侵入、そして個人ユーザーを標的としたソーシャルエンジニアリング攻撃が、今後1年間も進化を続けると結論付けています。こうした背景から、アーキテクチャ、開発プロセス、そしてユーザーエクスペリエンスにセキュリティを組み込んだプロジェクトこそが、Web3の次なる競争で成功を収めるでしょう。

完全なレポート: https://indd.adobe.com/view/6935ac85-c644-4048-9e27-1d310549aa0a