クリプトカジノDuelbits、約700万ドルのホットウォレットハックでサービス一時停止──Web3ゲームとカジノの境界に潜む構造的脆弱性

クリプトカジノプラットフォーム「Duelbits」が2026年9月24日、約700万ドル相当のホットウォレットハック被害を受け、サービスを一時停止した。オンチェーン調査によると、秘密鍵の漏洩が原因と見られており、Ethereum・Polygon・BNB Chain上の資産が流出したと報じられている。過去にもCoinsPaid、Stake、CoinExなど大型クリプトギャンブル関連プラットフォームでの被害が相次いでおり、Web3ゲームとカジノの境界領域における構造的な脆弱性が改めて浮き彫りとなった。

Duelbitsは、2026年9月24日に自社ホットウォレットからの不審な資金流出を検知し、サービスを緊急停止した。CoinDeskおよびCryptoBriefingの報道によれば、被害総額は約700万ドル相当にのぼる。

流出したアセットはETH、USDT、USDC、MATIC、BNBなど複数チェーンにまたがっており、攻撃者は素早く分散型取引所（DEX）を経由して資産をスワップし、痕跡を消しにかかっている様子が確認されている。オンチェーンセキュリティリサーチャーは、複数のホットウォレットから同時多発的に資金が引き出されていることを指摘しており、単一のシステム侵害というより、秘密鍵そのものが漏洩した可能性が高いと分析している。

Duelbitsは公式声明で「ユーザー資金の保護を最優先とし、被害範囲の特定と復旧作業に全力を尽くす」と表明した。ユーザー残高については保証する方針が示されているものの、サービス再開時期は現時点で未定とのことだ。

今回の事案で注目すべきは、攻撃手法が「秘密鍵の直接的な漏洩」を強く示唆している点だ。フィッシングやスマートコントラクトの脆弱性を突いた攻撃ではなく、運営側の内部インフラや鍵管理体制そのものが破られた可能性がある。

クリプトカジノをはじめとするWeb3サービスは、ユーザーの入出金を即時に処理するため、常時オンラインのホットウォレットに一定量の資産を保有する必要がある。利便性と引き換えに、鍵管理サーバーやAPI経由での署名処理が攻撃対象となりやすい構造だ。

2023年に発生したStake.comの4,100万ドル規模ハック（北朝鮮系Lazarus Groupの関与が指摘された事案）でも、秘密鍵漏洩が原因と結論づけられている。1年以上経過してもなお同種の被害が繰り返されている事実は、業界全体としてマルチシグやMPC（マルチパーティ計算）ウォレットへの移行、ハードウェアセキュリティモジュール（HSM）の導入が十分に進んでいないことを示している。

Duelbitsは、スロットやテーブルゲーム、スポーツベッティングを提供するオンラインカジノでありながら、暗号資産を直接入出金できる「クリプトネイティブ」なプラットフォームとして知られている。ユーザーはKYCを最小限に抑えたまま、複数チェーンの通貨で即座に賭けに参加できる。

一方で、近年のWeb3ゲームの中には、GameFiやP2E（Play-to-Earn）の枠を越えて、ギャンブル的要素を強めるタイトルも登場している。ルートボックス、ステーキング報酬の抽選型配布、NFTのミステリーボックス販売などは、法域によっては賭博と解釈されうるグレーゾーンだ。

ゲームとカジノの境界線が曖昧になるほど、資金の出入りを扱うホットウォレットの規模は肥大化し、攻撃者にとって魅力的なターゲットとなる。Duelbitsのような専業クリプトカジノで起きた事案は、Web3ゲームプロジェクトにとっても他人事ではない。トークンエコノミーを設計する運営側は、鍵管理と資産隔離の設計を「ゲーム開発」と同等の優先度で扱う必要が出てきている。

過去数年間だけを振り返っても、CoinsPaid（2023年、約3,720万ドル）、Stake.com（2023年、約4,100万ドル）、そして今回のDuelbits（2026年、約700万ドル）と、クリプトギャンブル関連の大型ハックは繰り返し発生している。

背景には、以下のような構造的要因があるとされる。

- 匿名性の高いユーザー層を抱えるため、資金流出後の追跡や凍結交渉が難航しやすい
- 24時間稼働の入出金処理を前提としており、ホットウォレット残高を大きく維持する必要がある
- 一部プラットフォームは規制の緩い法域を拠点としており、監査基準にばらつきがある
- Lazarus Groupなど国家支援型ハッカー集団のターゲットにされやすい

ユーザー側の自衛策としては、大口資金を長時間プラットフォーム上に置かないこと、二段階認証（2FA）の徹底、独自ウォレットからの入出金頻度を管理することなどが挙げられる。またプロジェクトを見極める際には、コールドウォレット比率の開示、第三者監査レポートの有無、過去のインシデント対応履歴といった観点を確認しておきたい。

Duelbitsのハック事案は、単なる一クリプトカジノの被害に留まらず、Web3ゲームとギャンブルの境界線上で運営されるすべてのプラットフォームに対する警鐘だ。トークンやNFTを扱う以上、ゲームプロジェクトも「ホットウォレットを狙われる金融サービス」としての側面を持たざるを得ない。ユーザーは信頼できる取引所や自己管理ウォレットの使い分けを、運営はセキュリティ投資の継続を、それぞれ改めて意識すべきタイミングに来ている。

Duelbits公式サイト：https://duelbits.com/