金融庁が暗号資産のサイバーセキュリティのリサーチペーパーを公表：鍵が盗まれたのではない流出の類型があり、署名前のシステムが改ざんされていた

2026年7月23日、金融庁はウェブサイトのイノベーション推進に関する政策ページで、暗号資産関連業者におけるサイバーセキュリティの課題と対策に関するリサーチペーパーを公表しました。報告書の表紙に記された日付は2026年6月30日で、著者として記名されているのは合同会社デロイトトーマツ（Deloitte Tohmatsu LLC）です。同じ日、金融庁は別の公表ページで、自ら2026年4月3日に策定したサイバーセキュリティの取組方針の英語版も公表しました。

本稿は2026年9月17日に確認しており、読んだのはこの政策ページの日本語版、リサーチペーパー英語版のPDF、金融庁の4月3日の公表ページ、およびそのページの別紙３である英語版の取組方針です。先に一つ整理しておきます。このリサーチペーパーは金融庁の見解ではありません。金融庁は掲載ページに「※上記リサーチペーパーは、当庁の見解、意見等を示すものではありません。」と明記しており、報告書の2ページ目にも、内容は金融庁の公式見解を示すものではなく、報告書中の誤りは受託者が責任を負うと書かれています。そのため本稿は、報告書について述べるときは一貫して「報告書は〜としている」と書き、「金融庁は〜としている」と書くのは取組方針についてだけです。当サイトは実地の検証を行っておらず、投資や法律に関する助言も行いません。

7月23日に公表されたもの：委託によるリサーチペーパー

報告書は政策ページの最新情報の一覧で公表されました。2026年の一項目目がこれで、その下に日本語版の報告書、英語版の報告書、日本語の概要版という三つのPDFが並び、リンクのすぐ下にあの免責の一行が続いています。ページには本稿の確認日の時点で「令和８年７月23日更新」と記されており、2026年7月23日にあたります。これはページの更新日で、ページが再び更新されれば別の日付に変わります。

報告書自身の免責も読む価値があります。2ページ目には、報告書中の誤りは受託者が責任を負うこと、個別事例の分析は各事例について公表された情報をもとに調査研究の目的で整理したものであり、個別の事案についての責任の所在や法的評価を示すものではないことが書かれています。同じページの謝辞には、金融庁の職員から助言や意見を得たことも記されています。委託による調査と公式見解の境界がどこにあるかを、これがそのまま示しています。金融庁自身が名前を出している文書は取組方針で、その冒頭にはApril 3, 2026とFinancial Services Agencyと記されています。

四つの日付を分けて見る：案、策定、表紙、公表

取組方針は7月23日に初めて現れたものではありません。金融庁の2026年4月3日の公表ページには、方針案について令和８年２月10日から令和８年３月11日まで意見募集を行い、「計18件のコメント」を受け取ったことが書かれています。金融庁は、寄せられたコメントを踏まえて必要な追記・修正を行ったうえで、取組方針を策定したとしています。

同じページの冒頭には「令和８年４月３日」と「令和８年７月23日更新」が記され、別紙１、別紙２に続いて「令和８年７月23日、以下の英語版を公表しました。」と書かれ、その後に別紙３と別紙４が並んでいます。したがって取組方針の策定日は2026年4月3日、英語版の公表日が2026年7月23日で、報告書の表紙にある2026年6月30日は報告書そのものの日付です。

報告書は近年の資産流出をどう読み替えたか

報告書の調査結果の要旨は、近年、暗号資産関連業者を狙った攻撃が続き規模も拡大しており、攻撃の経路は年々多様化し、高度化し、組織化していると述べています。報告書は、攻撃者がシステムそのものだけでなく運用基盤も狙うようになっているとし、その例として署名鍵、ウォレット、アクセス制御、CI/CD、クラウドのIAM／KMS、署名サービスを挙げています。署名鍵とは、取組方針の注1が定義する秘密鍵で、取引データに電子署名を付与し、その取引が正当な権限者によって実行されたことを証明するために用いるものです。

最も重要な一文はその直後にあります。報告書は、近年の事例を分析した結果、署名鍵そのものを盗むのではなく、ユーザーインターフェース、API、CI/CD、未署名取引の生成ロジック、本番環境のプログラムといった構成要素を改ざんし、正規の署名プロセスを悪用して資金を流出させた攻撃の類型を確認したとしています。事例から得られた教訓では、これらの事案の起点はソーシャルエンジニアリングやフィッシングによる開発者権限の侵害、あるいはマルウェアの投入であり、UIやAPIが改ざんされた後は、署名者が取引が偽造されたものであると気づくことが難しく、そのまま署名に進んでしまったとも書かれています。

報告書は構造についての判断も示しています。現実の暗号資産関連サービスは純粋に分散化されたモデルで動いているわけではないため、リスク評価はオンチェーンのコードやプロトコルだけでなく、オフチェーンの構成要素、運用上の統制、外部への依存、ガバナンスまで含めて行う必要があるとしています。報告書の事例研究は(1)から(10)まで番号が振られており、報告書自身の説明によれば、DeFiを含む暗号資産関連サービスの近年の事例を対象に、大きな損失につながった主要な攻撃手法に着目したもので、例として第三者の侵害、スマートコントラクトの脆弱性、フラッシュローン攻撃、マルウェア攻撃が挙げられています。本稿は事例の事業者やプロトコルを名指ししません。報告書が引用している損失額や件数の統計はいずれも外部機関のものであり、本稿では扱いません。

金融庁自身の取組方針：コールドウォレットだけでは足りない

取組方針の第1章は、近年の暗号資産の流出に関する事案は必ずしも署名鍵の盗取によるものではなく、ソーシャルエンジニアリング攻撃や委託先への侵入といった間接的な攻撃を含む、さまざまな巧妙な手法が顕著になっていると述べ、攻撃者が時間をかけて事前準備を行い、事業者に気づかれていなかった事例もあるとしています。この文書はそのうえで重要な一文を記しています。このような状況下では、単にコールドウォレットを用いれば安全に管理できていると言える状況ではなくなっており、外部委託先を含めたサプライチェーン全体にわたるサイバーセキュリティ管理態勢の強化が不可欠である、という一文です。方針は、利用者から預かった暗号資産が流出する事案が実際に発生したことにも触れており、重点的な監督について述べた箇所では、過去に大規模な暗号資産の流出が発生したことを踏まえ、個々の事業者の流出リスクへの対応とシステムリスク管理を集中的にモニタリングしてきたとしています。

方針は政策の枠組みを自助・共助・公助に分けています。自助について金融庁は、2026事務年度（英語版ではProgram Year 2026）以降、これまで他の金融業態向けに実施してきたサイバーセキュリティセルフアセスメント（CSSA）を暗号資産交換業者全社に実施するよう求めることを含め、必要な対話を行っていくとしています。注10は、CSSAが「金融分野におけるサイバーセキュリティに関するガイドライン」と整合した設問による自己評価であり、業界の中での自組織の位置づけを把握できるようにすることで自助努力の機会を与え、自律的な改善を促すものだと説明しています。金融庁は、事務ガイドラインで暗号資産交換業者に求めているサイバーセキュリティの水準の引上げを図るとも述べており、検討の例として挙げられているのは、サイバーセキュリティに係る人的構成要件、外部監査の要件、外部委託先に求めるべきサイバーセキュリティ要件です。公助については、金融庁は金融業界横断的なサイバーセキュリティ演習（Delta Wall）への定期的な参加を引き続き求め、3年以内に全社の参加を目指すとしており、さらに2026年中に数社の事業者の実際の運用環境を対象として脅威ベースのペネトレーションテスト（TLPT）を実施するとしています。

共助について、方針の本文は「自主規制機関」としか書いておらず、JVCEA（一般社団法人日本暗号資産等取引業協会）という名称は注11に現れ、その注が同協会の組織体制図にリンクしています。金融庁は、JPCrypto-ISACのような情報共有機関への参加を事業者に促すとも述べています。ただし、これらはいずれも新たに追加された法令上の義務ではありません。取組方針に罰則はなく、事務ガイドラインについては在り方の検討と水準の引上げを図ることしか書かれておらず、改正条文も施行日も示されていません。3年以内に全事業者が参加するという目標には起算日が書かれていません。TLPTについては対象がどの事業者かは書かれておらず、評価結果を対象事業者に個別にフィードバックし、抽出した共通の課題を業界全体に還元することだけが書かれています。

この話が台湾の読者にとって持つ意味

まず境界を引きます。取組方針の対象は日本の暗号資産交換業者であり、二つの文書はいずれも台湾に言及しておらず、日本の規定が台湾の利用者やプラットフォームに適用されるとも述べていません。持ち帰れるのは問題の形です。報告書は、事業者のウォレットシステムが第三者のサービスを利用している場合、署名鍵を第三者に預けていなくても、その第三者がサイバー攻撃への対策、本番環境へのアクセス管理、プログラム変更管理といった統制を適切に整備し運用していることを確認することが重要だとしています。報告書はまた、外部のサービス提供者が侵害されると、その影響が事業者自身のサービスや利用者の資産に波及しうるとも述べています。

もう一つの層は、自分でウォレットを保有している人が毎日行っていることです。報告書には、署名の時点での取引内容の確認と「ブラインド署名」について述べた1ページがあります。複雑なスマートコントラクト取引では、ウォレットが取引の詳細を人が読める形式で示せないことがあり、ハードウェアウォレットは画面の大きさやUIの設計といった制約も受けます。そこで報告書は、署名する人に向けて一文を書いています。スマートコントラクトを伴う複雑な取引に署名するとき、署名者が理解すべきなのは受取アドレスと送金額だけではなく、その取引がどのような操作を実行し、どのような権限を、誰に与えるのかまでである、という一文です。

報告書は、2026年5月12日にイーサリアム財団がウォレット開発者やセキュリティ企業などのエコシステム参加者とともにClear Signingを発表したこと、その中核技術であるERC-7730がJSON形式の記述子（descriptor）の標準であることを記しています。ただし報告書は同時に、その効果は表示される情報が正しいか、記述子が信頼できるか、各ウォレットが採用するモデルによって左右されると注意しており、記述子の誤りや配布経路への侵入は誤解を招く表示につながりうるため、無条件に安全とみなしてはならないとしています。もう一つ境界があります。この報告書は事業者と規制当局に向けて書かれたもので、本稿が確認した版には一般の利用者向けの自衛のチェックリストはありません。以下は編集部が考えた例であり、公式の助言ではありません。スマートフォンのウォレットに内容のわからない承認が表示されたときは、この取引は何を承認させようとしているのか、誰に与えるのかを先に尋ねてみることができます。

2026年 暗号資産ニュース総まとめ：法規制・技術・業界の重要動向

台湾の仮想資産サービス法が三読通過：7種類のサービス業者、ステーブルコイン許可、施行日は未定

• お金・家計
• 暗号資産・ブロックチェーン