2026年5月25日、マルタ金融サービス庁（MFSA）の監督下でステーブルコインを発行するStablRが、自社システムへの不正アクセスを公表しました。発行ウォレットが侵害され、米ドル建てのUSDRとユーロ建てのEURRが、裏付け資産を伴わないまま大量に発行されました。
今回は、EUの暗号資産規制であるMiCAに準拠したステーブルコインの発行体で何が起きたのか、その技術的な手口と、準備資産のルールが守れる範囲はどこまでなのかについて解説します。
※本記事の内容は、マネックスクリプトバンクが週次で配信している、FinTech・Web3の注目トピックスを解説するニュースレター「MCB FinTechカタログ通信」の抜粋です。マネックスクリプトバンクが運営する資料請求サイト「MCB FinTechカタログ」にて、過去の注目ニュース解説記事を公開していますので、ぜひご覧ください。
ステーブルコインの裏付けと発行ウォレットの権限管理
StablRは、マルタを拠点に、米ドル建てのUSDRとユーロ建てのEURRを発行する企業です。両トークンは、EUの暗号資産市場規制であるMiCA（Markets in Crypto-Assets Regulation）のもとで、法定通貨の価値に連動する電子マネートークン（EMT：E-Money Token）として位置づけられています。
MiCAは、電子マネートークンの発行体に対し、発行額と同額の準備資産を常に保有し、保有者がいつでも額面どおりに償還を請求できる体制を求めています。つまり、流通しているトークンは、裏付け資産と1対1で対応していることが前提になっています。
ステーブルコインの新規発行（ミント）は、発行体が管理するブロックチェーン上のウォレットから行われます。このウォレットの操作権限が奪われると、裏付け資産の有無とは無関係に、トークンを新たに発行できてしまいます。準備資産のルールと、発行ウォレットを誰が動かせるかという問題は、本来は別のものです。
この発行ウォレットの安全性を高める一般的な仕組みが、マルチシグ（複数署名）です。これは取引の承認に複数の鍵による署名を必要とする方式で、「3つの鍵のうち2つ（2-of-3）」のようにしきい値を設定します。しきい値を高くするほど、鍵が1本漏れても単独では操作できなくなります。今回の事件は、このしきい値の設定が論点になりました。
署名鍵の侵害から無裏付け増発までの流れ
StablRの発行ウォレットは、「3つの鍵のうち1つ（1-of-3）」というしきい値で運用されていました。これは3つの鍵のうちどれか1つで承認すれば取引が成立する設定で、重要な操作についても実質的に単一の鍵だけで動く状態に近いものでした。
攻撃者は、この3つの鍵のうち1本を入手しました。そして単独で承認できる権限を使い、自分が管理するアドレスを新たな管理者としてウォレットに追加しました。
続いて攻撃者は、正規の署名者をウォレットの権限から外しました。これにより発行ウォレットの支配権は完全に攻撃者の手に移り、本来の運用者が操作を取り戻せない状態になりました。
支配権を握った攻撃者は、トークンの発行関数を呼び出し、USDRを約835万、EURRを約450万、額面にして合計約1,350万ドル相当を、裏付け資産のないまま新たに発行しました。
ただし、増発された額面と、攻撃者が実際に手にした利益は一致しませんでした。攻撃者は発行したトークンを分散型取引所（DEX：Decentralized Exchange）で売却しましたが、これらのトークンの取引量が薄かったため、売るほど価格が下がり、最終的に得られたのは約280万ドル（約1,115ETH）にとどまったとみられています。額面1,350万ドルの増発に対して、実際の流出はその2割程度だった計算になります。
大量の売却を受けて、両トークンは裏付けの基準となる価格から大きく乖離しました。ユーロ建てのEURRは一時約0.548ドルまで下落しました。これは本来連動するユーロの価値（当時約1.16ドル）の半値に近い水準です。両トークンは一時、基準価格から最大で約50%下落したと報じられています。
StablRは、流通するUSDRとEURRが現在はMiCAの求める1対1で完全には裏付けられていないことを認め、発行と償還を停止し、取引所に対しても取引・入出金の停止を要請しました。あわせて同社は、マルタ金融サービス庁に対し、DORA（デジタル・オペレーショナル・レジリエンス法：Digital Operational Resilience Act）に基づく重大なICT関連インシデントとして届け出る方針を示しています。
MiCA見直しの意見公募と「準備資産ルールが守る範囲」
今回の事件は、EUがMiCAそのものの見直しに着手した時期と重なりました。2026年5月20日、欧州委員会の金融安定・金融サービス・資本市場同盟総局（DG FISMA）は、MiCAが変化する市場に適合し続けているかを問う意見公募を開始しました。受付は2026年8月31日までです。
この意見公募は、誰でも回答できる一般向けの質問票と、発行体や金融機関などを対象に法的・運用的な論点へ踏み込んだ調査の二本立てで構成されています。市場関係者の間では、将来の改正を見据えて「MiCA 2」とも呼ばれています。
見直しの主な論点は、ステーブルコインの準備資産の要件、利息付与の禁止、償還権、規模の大きいトークンを「重要」と判定する基準などです。いずれも、裏付け資産や利用者保護のルールをどのように設計するかに関わるものです。
一方で、今回StablRで起きた事故は、準備資産のルール違反やスマートコントラクトの欠陥ではなく、鍵の管理と権限変更の手続きという運用面で生じました。準備資産を1対1で求めるルールは、その資産が鍵の侵害によって意味を失う事態までは直接カバーしていません。裏付けのルールと、発行体の運用ガバナンスは、別のレイヤーで守る必要があると考えられます。
鍵の侵害による被害は、ステーブルコインに固有の問題ではありません。これまでもブロックチェーン間を橋渡しするブリッジなどで、署名鍵の漏洩を起点とした大規模な資金流出が繰り返されてきました。今回はその構図が、規制に準拠したステーブルコインの発行体で表面化した事例といえます。
考察
今回の事例が示すのは、「規制に準拠していること」と「運用が堅牢であること」は、必ずしも同じではないという点です。MiCAへの準拠は、裏付け資産の保有や償還体制、発行体の登録といった枠組みを担保しますが、発行ウォレットの鍵をどのようなしきい値で管理し、権限変更をどのような手続きで承認するかは、発行体それぞれの内部統制に委ねられています。
特に1-of-3というしきい値は、運用上の利便性を優先した結果とも考えられますが、鍵1本の漏洩がそのまま発行権限の掌握につながる設計でした。準備資産をどれだけ厳格に積んでいても、発行そのものを止められなければ、裏付けの比率は短時間で崩れてしまいます。準備資産の要件を精緻にする議論と並行して、鍵管理と権限変更フローの堅牢性をどう担保するかが問われているといえそうです。
日本でも、改正資金決済法のもとでステーブルコインは「電子決済手段」として位置づけられ、発行体は銀行・資金移動業者・信託会社などに限定され、原則として全額が保全される仕組みになっています。2026年6月には、信託型の裏付け資産について運用範囲を広げる改正の施行も予定されています。
ただし、こうした制度が手当てするのは主に発行体の類型と裏付け資産であり、発行に用いる鍵や権限の管理は、各発行体のシステムリスク管理に委ねられる部分が大きいといえます。国内の発行・基盤事業者にとっても、今回の事例は、裏付けのルールとは別に、鍵管理と権限変更の堅牢性をどう確保するかという課題を改めて示すものとなりそうです。
