簡潔な回答（2026年10月）： 2026年5月の攻撃でMonero自体が悪用されたわけではありません。攻撃の標的となったのは、Havenoトレーディングソフトウェアなど、Moneroを基盤または周辺で構築されたアプリケーションでした。Havenoでは、偽の仲裁人メッセージによって攻撃者がマルチシグウォレットの設定に影響を与えました。リング署名、RingCT、ステルスアドレスは影響を受けませんでした。GhostSwapのようなアカウント不要のワンタイムスワップでは、マルチシグエスクローの設定は不要です。
2026年5月、Havenoデリバティブ取引プラットフォームを含む、Monero関連の複数のアプリケーションが悪用されました。これらの事件はいずれもMoneroの基盤プロトコルを破るものではありませんでした。機密性、リング署名、RingCT、ステルスアドレスなどを扱う暗号化コアは関与しておらず、問題はアプリケーションコード、マルチシグ連携、およびプロトコルに関する運用方法にありました。
要約： 2026年5月の事件で、モネロ自体が悪用されたわけではありません。被害を受けたのは、モネロを基盤とする、あるいはモネロに関連するアプリケーション、取引プラットフォーム、フェデレーションサービス、マルチシグコーディネーターなどです。XMRをスワップしても、基盤となるプライバシー保証は変わりません。重要なのは、どのアプリケーション層を信頼するかということです。
2026年5月に実際に何が起こったのか
今月、モネロ関連ソフトウェアで複数のインシデントが発生した。最も話題になったのは、Havenoトレーディングソフトウェアにおける脆弱性の悪用で、2026年5月21日にr/Moneroで報告され、 Haveno PR #2315で追跡された。この脆弱性は少なくとも1つのダウンストリームオペレーターに影響を与えた。公開されたRedditスレッドによると、この攻撃は仲裁人を装った偽の承認メッセージを利用しており、攻撃者は資金が入金される前にマルチシグウォレットの設定に影響を与えることができた。ネットワークオペレーターは、修正プログラムが開発されるまで取引を停止するよう勧告された。
損失額は勧告発表時点では公表されておらず、修正についてはリンク先のプルリクエストで追跡されています。当社は公開レポートおよびアップストリームのパッチを参照しており、これらのURL以外の詳細は確認していません。
これらの事象はいずれもモネロの基盤プロトコルに影響を与えませんでした。モネロプロジェクトのブログでは、これらの事象に関連したプロトコルレベルの勧告は公開されておらず、当該期間中にモネロの貢献者からチェーンの再編成、機密性の侵害、コンセンサスの失敗は報告されていません。
ベースレイヤーが機能し続けた理由
Moneroの基盤レイヤーは、懸念事項を明確に分離しています。
- リング署名 複数の偽の生産物の中に、実際にどの生産物を使ったのかを隠す。
- RingCT 金額を隠します。 2017年1月にメインネットに導入されました。 （2026年05月28日取得）
- ステルスアドレス 受信機を隠す。
これらのプリミティブは長年にわたり運用されており、私たちの知る限り、稼働中のMoneroチェーン上でRingCTの機密性が暗号学的に侵害されたという報告はこれまで一切ありません。アプリケーションのバグ、手数料の計算ミス、GUIの不具合、ウォレット同期の不具合などは発生し、修正されますが、それらがオンチェーンの機密性保証を損なうことはありません。
アプリケーション層はまた別の話です。一般的に、アプリケーション層は比較的新しく、査読も（私たちの見解では）あまり行われておらず、GUIコード、ネットワーク調整、マルチシグフロー、サードパーティの仲裁者、オペレーターのインフラストラクチャなど、多くの要素が複雑に絡み合っています。2026年5月に発生したインシデントは、まさにこのアプリケーション層で発生しました。
これはスワップユーザーにとって何を意味するのか
非カストディアルサービスを通じてXMRを交換する場合、重要なのは、交換にかかる数分間の間に資金がどうなるかということです。非カストディアル交換とは、資金が第三者のエスクローに保管されるのではなく、直接通過することを意味します。通過時間が短く、必要な調整が少ないほど、攻撃対象領域は小さくなります。
| 表面 | リスクプロファイル | Notes |
|---|---|---|
| モネロのベースレイヤー | 安定した | これまでのところ、制作過程で機密保持義務違反が公に開示された事例はない。 |
| ウォレットソフトウェア | 穏健派 | バグは修正されます。ウォレットを常に最新の状態に保ってください。 |
| フェデレーション型マルチシグサービス | より高い | 連携ロジックは現在も攻撃対象となっている。2026年5月の事例を参照のこと。 |
| XMRを保有するカストディアル取引所 | 最高 | 資金はプラットフォーム上に留まり、取引相手リスクと上場廃止リスクが発生する。 |
特にスワップ取引においては、エスクローを行うプラットフォームよりも、非カストディアル型のプラットフォームを優先すべきです。資金を預からないスワップサービスであれば、エスクローに関するリスクを完全に排除できます。
XMRの交換時にエコシステムリスクを軽減する方法
- 非保管型のスワップパスを使用してください。 GhostSwapはKYC不要の仮想通貨取引所です。アカウントもメールアドレスもサインアップも不要です。資金は通過するだけで、当社が保管することはありません。 BTCからXMRへの交換ページ またはライブウィジェット ホームページ.
- 宛先住所はご自身でご確認ください。 ご自身のウォレットから、受取用のMoneroアドレスを貼り付けてください。第三者機関がマルチシグを設定するような、コピー＆ペーストによる手順には頼らないでください。
- ウォレットソフトウェアは常に最新の状態に保ってください。 アプリケーション層のほとんどの問題は、報告されるとすぐに修正される。
- よりシンプルなスワップトポロジーを推奨します。 2つの当事者（あなたとスワップサービス）、1つの変動金利見積もり、1つのオンチェーン決済。GhostSwapは、主要な仮想通貨市場から変動金利で集約された流動性を利用するモデルを採用しており、5月に崩壊した調整面を回避しています。
FAQ
Q：モネロは2026年5月にハッキングされましたか？
A：いいえ。モネロの基盤となるプロトコルは悪用されていません。今回の事件は、モネロを基盤とする、あるいはモネロに関連するアプリケーションに影響を与えたものであり、チェーン自体には影響していません。この期間中にプロトコルレベルの侵害があったという報告は一切受けていません。
Q: XMRを保有したり交換したりするのは、まだ安全ですか？
A：XMRのプライバシーを保護する暗号化技術、リング署名、RingCT、ステルスアドレスは、2026年5月の事件の影響を受けませんでした。リスクはアプリケーション層（ウォレット、取引プラットフォーム、マルチシグコーディネーター）に集中しているため、攻撃対象領域が小さいツールを選択する方が安全です。
Q: アカウントを持たずにXMRとの間で通貨を交換するにはどうすればよいですか？
A: GhostSwapはサインアップなしでXMRスワップをサポートしています。アカウントもメールアドレスも本人確認も不要です。200以上の資産で1,600以上のペアをサポートしています。完了時間の中央値は約8分ですが、チェーンの混雑状況によって変動します。 BTCからXMRへのペアページ または、 ホームページ.
Q: XMRを取引プラットフォームに保管しておくべきでしょうか？
A：それは個人の選択ですが、どのプラットフォームでXMRを保有する場合でも、そのプラットフォームの運用リスクにさらされることになります。自分で管理する非カストディアルウォレットを使用すれば、そのリスクを軽減できます。また、非カストディアルスワップを利用すれば、そもそもリスクが発生することはありません。
閉鎖
2026年5月の事件は、モネロの上位にあるアプリケーション層こそが運用リスクの大部分を占めており、チェーン自体にはリスクがほとんどないことを改めて示しています。最小限の合理的な範囲でXMRの交換を続けたいのであれば、非カストディアル方式を採用し、自身のアドレスを検証してください。
GhostSwapのホームページでスワップを開始するか、 BTCからXMRのペアページに直接アクセスしてください。
