「自己管理型」の境界で消えた8,000万円 ── ステーブルコインカード基盤Rainの旧版契約が突いた委託先リスク

何が起きたのか

攻撃者はまずクロスチェーンブリッジのdeBridge経由で1.79SOLというごく小額の資金を得て、約3時間の待機を挟んだのち、協定世界時16時49分48秒に最初の不正取引を発火させた。最終的に署名された取引は1万4,672件（うち失敗2,344件）に及ぶ。オンチェーン監視では一時100万ドル超の流出とも推計されたが、Aviciによる最終照合では被害は自社利用者1,685人・50万859.22ドルと確定した。

突かれたのは「旧版が生き残っていた」こと

技術的な手口は三段構えである。偽装した署名データを投入し、次に利用者ごとの担保口座へ管理者権限を自ら付与し、最後にその権限で資産を引き出す。ブロックチェーンの合意形成やソラナ本体の欠陥ではない。原因は、Rainのソラナ契約の旧バージョンが一部のプログラムで稼働し続けていた点にある。2026年6月にRaydiumの廃止済み流動性プールが同様に狙われた事例と構図は同一で、「新版へ移行したが旧版を落としていない」という運用上の空白が繰り返し標的になっている。

「自己管理型」の看板は、どこで途切れるのか

AviciもTriaも自己保管型ネオバンクを標榜しており、実際に利用者のソラナ／EVMウォレットは影響を受けなかった。しかし利用者がカードにチャージした瞬間、資金は自己保管ウォレットを離れ、Rainが管理する別建ての担保コントラクトへ移る。今回消えたのはまさにこの領域である。皮肉なことにTriaは2026年1月の透明性レポートで、自己保管と責任範囲の境界の明確化が2026年に重要性を増すと自ら予告していた。

単一障害点としての決済インフラ

事の重大さは流出額ではない。Rainは2026年1月にICONIQ主導のシリーズCで2億5,000万ドルを調達し、企業評価額は約19億5,000万ドル（約3,100億円）に達した。Visaのプリンシパルメンバーとして150カ国以上・年間30億ドル（約4,800億円）超の取引を処理し、Western Unionとも提携する基幹事業者である。B2B基盤の共通化は経済合理性が高い一方で、脆弱性もまた共通化される。Rainは第三者フォレンジック調査会社を起用し、法執行機関および関係当局と連携する方針を示している。

残された論点 ── 補償と凍結

Rain・Avici・Triaはいずれも全額補償を表明したが、返金時期と最終的な費用負担者は開示されていない。またステーブルコイン発行体のサークルがUSDCを凍結しなかった点にはSNS上で批判が出た。同社は2026年4月、凍結は法的命令に基づくべきとの方針を明言しており、Drift Protocolの約2億8,000万ドル流出事案では凍結見送りを理由に集団訴訟も提起されている。今回も攻撃者は資金をイーサリアムへ移し約418ETHに交換したうえで匿名化サービスへ送金しており、回収は事実上困難になった。AVICIトークンは事件を受けて24時間で約38％下落し、過去最安値の0.219ドル近辺まで売られた。

日本の実務への含意

日本では2026年6月1日施行の改正内閣府令により、外国発行の信託型ステーブルコインが電子決済手段として正式に位置づけられた。国内でステーブルコイン建てカードを組成する法的前提は整いつつある。その局面で今回の事案が突きつけるのは、外部委託先が運用するスマートコントラクトの版数管理が、そのまま委託先管理の中核論点になるという事実である。

【事業開発に関するインサイト】

1. 委託先管理の対象に「稼働中の契約版数」を明示的に含めるべきである。従来の委託先管理は主に組織・人・情報セキュリティ体制を対象としてきたが、今回の起点は旧版コントラクトの放置という純粋な構成管理の失敗だった。基盤事業者との契約に、稼働中の全デプロイの版数一覧の定期報告と、廃止版の停止完了報告を義務づける条項を組み込むことが、実務上もっとも費用対効果の高い対応となる。
2. 「顧客資産が自己保管を離れる瞬間」の開示設計が差別化要因になる。今回の被害者の多くは、自己管理型を謳うサービスを使いながら、チャージした残高が委託先管理の共有コントラクトへ移っていることを理解していなかった可能性が高い。どの操作でカストディ主体が交代し、そのときの補償主体は誰かを商品説明段階で図示できる事業者は、日本の説明義務水準とも整合し、機関投資家・法人顧客に対する明確な優位を得る。
3. 補償原資と凍結権限を、発行体の方針を前提に事前設計する必要がある。サークルは法的命令なしにUSDCを凍結しない方針を明示しており、発行体による資金凍結は救済手段として当てにできない。カード事業を組成する側は、流出時の補償上限、原資（自己資本か保険か）、および支払開始までの日数を、サービス開始前に社内規程と約款の双方で確定させておくべきである。

【出典】

CoinPost「Aviciのカード残高から約50万ドル流出、Triaも被害　全額補償を約束」（2026年8月29日）https://coinpost.jp/?p=734151 Avici公式声明（X）https://x.com/avici/status/2093408878663000074 および https://x.com/avici/status/2093439613201482068 Rain公式声明（X）https://x.com/raincards/status/2093435073081053518 Tria公式声明（X）https://x.com/useTria/status/2093433665258963450 Crypto Adventure「Avici to Refund 1,685 Users After $500K Solana Card Contract Exploit」（2026年8月29日）https://cryptoadventure.com/avici-to-refund-1685-users-after-500k-solana-card-contract-exploit/ crypto.news「Avici attack drains over $1M from Solana users」https://crypto.news/avici-attack-drains-over-1m-dollars-from-solana-users/ Cryptopolitan「Avici pledges full refunds as hackers hit Ajna next」https://www.cryptopolitan.com/avici-pledges-full-refunds-ajna-next/ BlockchainReporter「Avici Card Contract Vulnerability Affects 1,685 Users」https://blockchainreporter.net/avici-solana-card-contract-vulnerability Tria「Tria Transparency Report: Progress, Operations, and Next Steps」（2026年1月）https://usetria.medium.com/tria-transparency-report-progress-operations-and-next-steps-07d878785082 CoinDesk「Circle CEO says he won't freeze USDC without a court order」（2026年4月13日）https://www.coindesk.com/business/2026/04/13/circle-ceo-says-he-won-t-freeze-usdc-without-a-court-order-even-as-hackers-walk-away-with-millions Reuters「Stablecoin firm Rain valued at $1.95 billion in latest fundraise」（2026年1月9日）https://www.reuters.com/technology/stablecoin-firm-rain-valued-195-billion-latest-fundraise-2026-01-09/ CoinPost「金融庁、外国発行ステーブルコインを電子決済手段に正式認定　内閣府令改正を公布」（2026年5月19日）https://coinpost.jp/?p=709645