いいですか、2026年10月、クリプトカジノは19日間で同じ教訓を2度学びました。10月13日、攻撃者はGamdomの5つのチェーンにまたがるホットウォレットを1時間足らずで空にしました。9月24日には、Duelbitsが自身のホットウォレットを流出させた後、サイトがダウンしました。合わせて、この2つの事件は誰の数字を信じるかにもよりますが、およそ700万ドルから1100万ドルの損失をもたらしました。両運営会社は同じ4つの言葉を口にしました。「ユーザー資金は安全です」。どちらも事後分析を公開していません。
見出しの数字よりもパターンが重要です。これらはスマートコントラクトの脆弱性や巧妙なプロトコルのバグではありませんでした。すべてのクリプトカジノが即時出金を可能にするために運用している、地味な配管への攻撃でした。オフショアのクリプトカジノに残高を置いているなら、その配管こそがあなたのお金と他人のウォレットの間に立ちはだかるものです。
Gamdomハックで何が起きたか
流出は10月13日の協定世界時15:50頃に始まりました。およそ1時間で、GamdomのEthereum、Solana、BNB Chain、Tron、XRP Ledger上のホットウォレットがそれぞれ、そのチェーン上の単一の攻撃者アドレスに1件の大きな支払いを送りました。Gamdomの最初の公開投稿は18:45 UTCで、サイトをオフラインと説明し、迅速な復旧を約束しました。
説明は翌日到着しました。サーバーディスク障害のように見えたものを調査していたスタッフは、自動化サーバー上に不正な接続を発見しました。人間が介在せずに出金に署名して送信するマシンです。創業者のFelix Römerはホットウォレットシステムへの侵害を認め、流出は止められたと述べ、残りの資産はコールドストレージに移されたと述べました。彼の損失額は300万ドル強です。それでも、オンチェーン調査員のvxdbはもっと多くを数えました。その集計によると、攻撃者は420万8千ドルを持ち去りました。
| ネットワーク | 推定流出額 |
|---|---|
| EVMチェーン（Ethereum、BNB Chain、Polygon、Arbitrum、Optimism） | 約220万ドル |
| Solana | 約96万5千ドル |
| Bitcoin | 約66万8千ドル |
| Tron | 約37万5千ドル |
| 合計（vxdb推定） | 420万8千ドル |
| Gamdom自身の数字 | 300万ドル強 |
120万ドルの差は説明されていません。運営会社自身のウォレット間の内部送金は外部の推定を膨らませる可能性があるため、vxdbは過大に数えているかもしれません。Gamdomも過小に数えている可能性があります。カジノからの公開された内訳がなければ、社外の誰もどちらが正しいか言えません。
Gamdomは10月16日12:34 UTCに、2日以上オフラインだった後に再開しました。復活に伴い、4万5千ドルのデイリーリーダーボード、既存ユーザー向けの20%入金ボーナス、そして第2回リローンチウィークコンペティションが用意されました。なんともカジノらしい謝罪の仕方です。もっと入金しろと人に頼むのですから。
攻撃者はステーブルコインをDAIに交換した、それは何かを物語っている
オンチェーンの足跡で最も興味深い詳細は、盗難の規模ではありません。最初の数分間に何が起きたかです。新しいEthereumウォレットが3つのホットウォレットから約120万ドルを集め、すぐにUSDTとUSDCをDAIに交換しました。BNB Chainの支払いも受け取った2つ目のウォレットは、約87万ドルをDAIで集め、その多くはブリッジ経由でした。
率直に言って、その交換は意図的です。TetherとCircleはコントラクトレベルでUSDTとUSDCを凍結でき、両社は以前にハッキングされた資金に対してそれを実行しています。DAIには凍結ボタンを持つ発行者がいません。10月14日初めまでに、2つのウォレットは約200万ドルを保有し、約180万ドルのDAIと87 ETHはそれ以来ほとんど動いていません。TronとXRPの受取人は異なる行動を取り、80分以内に資金を転送しました。当然ながら、プレイヤーへの教訓はこれです。カジノや規制当局が安全網として引用するステーブルコインの凍結機能は、最初の数分以内に誰かがボタンを押した場合にのみ機能します。有能な攻撃者は、Tetherの誰かがアラートを読む前に交換を済ませます。
Duelbitsハックで何が起きたか
Duelbitsはすでにこれを経験していました。9月24日、セキュリティ研究者がEthereum、BNB Chain、Tron上のホットウォレットからの不審な流出を指摘しました。初期の推定では損失は420万ドルでした。後にBitcoinとSolanaの活動を加えた分析では、数字は約590万ドルに押し上げられました。共同創業者のJoeは約700万ドルと述べ、これはどの外部推定よりも高い数字です。
SlowMistは根本原因をプロトコルのバグではなく、ホットウォレットの秘密鍵の侵害と分類しました。Duelbitsはサイトを停止し、ユーザー資金は安全だと述べ、9月27日に再開して入出金が再び可能になりました。再開の声明では、ホットウォレットとコールドウォレットを合わせて約800万ドルと主張しました。10月8日までに、運営会社は資金の疑わしい保有者に返還を求める報奨金を公に提供していました。
これはDuelbitsにとって初めてではありませんでした。2024年2月、CertiKは同じカジノのホットウォレットから約460万ドルが取られたと報告しました。3年足らずで同規模の流出が2回は不運ではありません。アーキテクチャの問題です。
2026年のカジノハックを以前のものと比較する
CryptoCasino.Vegasの調査は、クリプトカジノとその決済プロセッサで公に報告された主要なホットウォレット事件を1つのビューにまとめました。数字は、運営会社の声明とオンチェーン推定が食い違う場合、その範囲を用いています。ご覧ください。
| プラットフォーム | 日付 | 報告された損失 | 攻撃タイプ | ダウンタイム |
|---|---|---|---|---|
| Stake | 2023年9月 | 約4100万ドル | ホットウォレットの鍵、FBIは北朝鮮のLazarus Groupと特定 | 数時間（出金停止） |
| Duelbits | 2024年2月 | 約460万ドル | ホットウォレットの侵害 | 公開詳細なし |
| Duelbits | 2026年9月24日 | 420万ドルから700万ドル | 秘密鍵の侵害が疑われる | 約3日 |
| Gamdom | 2026年10月13日 | 300万ドルから420万ドル | 出金自動化サーバーへの不正アクセス | 約2日 |
2026年の2件は3つの特徴を共有しています。どちらも複数のチェーンを同時に攻撃しました。つまり攻撃者は、1つのネットワーク上の1つの漏洩した鍵ではなく、署名インフラにアクセスしていたということです。両運営会社はホットウォレット層を非難し、コールドストレージは無傷だと述べました。両社とも独立した準備金の証明なしに72時間以内に再開しました。
より広い市場は安心できるものではありません。TRM Labsは2026年上半期に207件のクリプト盗難事件が発生し、総額9億7200万ドルに達したと数え、インフラと運用上の侵害が盗まれた資金の約76%を占めたと発見しました。CertiKは2026年第3四半期の損失が12億8000万ドルで、前四半期比56.2%増、9月だけで7億7340万ドルが失われたと報告しました。カジノは、大規模で常時オンラインのウォレットを運用する、もう1つの運営者クラスにすぎません。
クリプトカジノがハックされたら資金は安全か？
「ユーザー資金は安全です」は、聞こえるより狭い意味です。カストディアルカジノのプレイヤー残高はデータベースのエントリです。その背後にあるコインは運営会社のウォレットに混ざって存在します。ホットウォレットが流出しても、個々のプレイヤーの残高は変わりません。運営会社は自己の財務から穴を吸収し、可能である限り出金を履行し続けます。
率直に言って、その「可能である限り」がすべてです。深いコールドリザーブを持つカジノは400万ドルの損失を食べて続行できます。より薄い運営会社は、流動性を再構築する間、何ヶ月も静かに出金を遅らせるかもしれません。外から見れば、キャッシュアウトしようとするまで両者は同じに見えます。ウォレットトラッカーは10月12日にGamdomの監視対象ホットウォレットに約1050万ドル、翌日には約7万6千ドルを記録しました。これは盗難の規模を証明するものではありませんが、大規模運営会社の普通の日にホットストレージにどれだけ置かれ得るかを示しています。
そして、何も失われなくてもダウンタイムは実際のコストです。2〜3日の間、両カジノのプレイヤーは何も出金できませんでした。大きな残高があり、それを動かす理由があったなら、その窓はあなたが選んだものではありませんでした。
クリプトカジノのプレイヤーが今すべきこと
カジノ残高は一時的なものとして扱いましょう。最も安全なクリプトカジノ残高は、セッション後に出金したものです。ホットウォレットは支払いを迅速にするために存在します。そのスピードを利用しましょう。
事件後に運営会社がどう話すかに注目しましょう。公開された事後分析、準備金アドレス、明確な損失額は良い兆候です。技術的な説明のないリローンチボーナスはそうではありません。
大きな金額を置く前に準備金の証明を求めましょう。ごく少数のクリプトカジノしかウォレットアドレスや残高スナップショットを公開していません。公開しているところは検証できるものを与えてくれます。残りは約束を与えるだけです。
ステーブルコインの凍結を当てにしないでください。Gamdomの攻撃者は数分でDAIにいました。凍結可能なステーブルコインは、あなたを守る以上に発行者を守ります。さらに、自動出金は定義上ホットウォレットを必要とします。CryptoCasino.Vegasも即時自動支払いを運営しており、だからこそどの運営会社にとっても有用な質問は、ホットウォレットが存在するかどうかではなく、一度にどれだけ少なくそこに置かれているか、そして自動化をどれだけ早く遮断できるかです。GamdomとDuelbitsはどちらも高くつく方法で答えを見つけました。プレイヤーが同じ方法で知る必要はないはずです。
