暗号資産カードの「チャージ残高」から流出｜共通基盤Rainの旧コントラクトが原因、Avici・Triaが全額補填【2026年8月】

暗号資産で支払えるカードの「裏方」にあたる会社 Rain（レイン） が2026年8月28日、自社の古いプログラムに穴が見つかり、そこを突かれてお金が引き出されたと公表しました。

被害が出たのは、Rain の仕組みを使っている Avici（アヴィシ） と Tria（トリア） という2つのカードサービスです。

やられたのは「カードにチャージした分の残高」だけでした。利用者が自分のウォレットに置いたままにしていた資産は無事だった、と両社は説明しています。

Rain は翌29日、影響を受けた人への返金が全額完了したと発表しました。

この記事で分かること

• 何が起きたのか（3社が公表した内容）
• なぜ「カード残高」だけが被害を受けたのか
• 「暗号資産 ハッキング 補償」はどう決着したのか
• 報道が伝えている数字と、まだ確定していない部分
• 日本の制度との関係
• 現時点で未確定の事項

本記事は公表資料の整理です。特定のカードやサービスの利用を推奨するものではありません。

何が起きたのか

暗号資産の決済・カード発行の基盤を提供する Rain が、2026年8月28日に脆弱性を公表しました。

投稿の内容は次のとおりです。

本日、Rain の監視システムが、当社の Solana コントラクトの古いバージョンを使っていた一部のプログラムに影響する脆弱性を発見しました。ほかのプログラムには影響がありません。Rain はただちに調査を開始し、影響の範囲を特定しています。

同じ日、Rain の基盤を使っている2社が相次いで告知を出しています。

Avici は最初に「カード残高の引き出しに影響が出る事象を認識している」と投稿し、その後のUPDATEで、カード発行のパートナーである Rain が Solana のカード用コントラクトのあるバージョンに脆弱性を見つけたこと、そのコントラクトは更新済みであること、影響を受けたカード残高は全額返金することを表明しました。

Tria は同日の投稿で、より具体的に範囲を切り分けています。

Rain のプログラムを使うカード全体で、Solana 上の USDC / USDT をカード残高にチャージした分について、身に覚えのない引き出しの報告が上がっています。ウォレット・先物・Earn にある資金はすべて安全です。カード残高のうち EVM 上の資産も安全です。

つまり、狙われたのは「Solana 上のカード残高」という限られた場所でした。

なぜ「カード残高」だけが被害を受けたのか

ここが、この事件のいちばん大事なところです。

Rain の仕組みを使うカードでは、利用者はまず自分のウォレットから ステーブルコイン（USDC や USDT）をカードへチャージします。

このとき、チャージした分は自分のウォレットを離れて、カード用の別のコントラクトへ移ります。カードで使える残高は、そちらで管理されます。

たとえば、ウォレットに1,000ドル分の USDC を持っていて、そのうち200ドルをカードにチャージしたとします。この200ドルは、もう自分のウォレットの中にはありません。カード用のコントラクトの中にあります。

今回、穴が見つかったのはこのカード用コントラクトの古いバージョンでした。だから、チャージしていた200ドルの側は影響を受け、ウォレットに残していた800ドルの側は無事だった、という結果になります。

Avici も Tria も、利用者が自分で管理しているウォレット（セルフカストディ）の資産に被害はなかったと説明しています。

暗号資産のカードを使うときに、チャージした金額がどこで管理されるのかは、確認項目のひとつです。

「暗号資産 ハッキング 補償」はどう決着したのか

Rain は翌8月29日、返金の完了を報告しました。

昨日の事象で影響を受けたカード保有者には、全額の返金が完了しました。これらの資金は利用者のスマートコントラクト内にあり、そのすべてが昨日アップグレードされています。すべてのプログラムは正常に稼働しており、当社のチームは状況を継続的に監視しています。

Tria も同日の投稿で、影響を受けたカード残高は全額補填されると説明しています。

暗号資産の流出事案では、補償の有無と負担者がその場で決まらないことも多く、この件は公表から返金完了までが1日でした。

一方で、Rain の投稿は原因の技術的な報告（ポストモーテム）の公表には触れておらず、フォレンジック（デジタル鑑識）の記述は投稿の表示上そこで切れています。

報道が伝えている数字（当方では原文を確認できていない部分）

被害の規模については、3社の投稿本文が X の表示上で省略されているため、当サイトでは原文を最後まで確認できていません。以下は日本語メディアが各社の開示として伝えた数字です。数字を引用するときは、この出所を含めて扱う必要があります。

出所： CoinPost（2026年8月29日）、 BitTimes（2026年8月29日）、 JinaCoin（2026年8月30日）

Avici の数字は3媒体で一致していますが、Tria の流出額は媒体によって異なる数字が出ています。上表の401,945ドルは JinaCoin が伝えた値で、当方では Tria の投稿本文からこの数字を確認できていません。

Avici と Tria の数字を単純に足すと約90万ドルになりますが、3社のいずれもこの合計額を公表していません。

攻撃を受けた Rain とはどんな会社か

Rain は、企業向けにステーブルコインの決済・カード発行の基盤を提供する事業者です。公式サイトには、Western Union の「Stablecard」が Rain 上で稼働しているという告知が掲出されています。

カードを名乗って利用者と接しているのは Avici や Tria ですが、その裏側の発行・決済の仕組みは Rain が持っている、という構造になります。

今回のように、表に出ているサービス側ではなく、その基盤の側で起きた不具合が利用者の資金に届くことがあります。カードの運営会社だけでなく、発行・決済の基盤を誰が提供しているのかも、確認項目のひとつです。

なお、Rain の基盤を使っているカードは Avici と Tria 以外にもあるとされますが、8月30日時点で被害を公表しているのはこの2社だけです。Rain 自身も「ほかのプログラムには影響がない」と述べています。

日本の制度との関係

Avici と Tria は、いずれも金融庁が公表している暗号資産交換業者の登録一覧に掲載された事業者ではありません。日本国内で暗号資産の売買や交換をサービスとして提供する場合は、資金決済法にもとづく登録が必要とされています。

登録のない事業者については、金融庁が無登録で暗号資産交換業を行う者の名称等として公表する枠組みがあります。2026年8月30日時点で、本件に関する日本の当局の公表は確認できていません。

海外のサービスで資産の被害に遭った場合の相談先としては、次の窓口が国内で案内されています。

現時点で未確定の事項

• 技術的な原因の詳細。Rain は「古いバージョンの Solana コントラクトの脆弱性」とだけ説明しており、8月30日時点で原因報告は公表されていません
• 被害の総額。3社のいずれも合計額を公表していません
• なぜ古いバージョンのコントラクトが残っていたのか。3社の投稿に説明はありません
• 費用の最終的な負担者。返金が完了したことは Rain が公表していますが、Rain・Avici・Tria の間の負担については記載がありません
• 流出資金の追跡状況。ブリッジや匿名化サービスへの送金は、セキュリティ関係者の見解としてメディアが伝えている段階です
• Rain の基盤を使うほかのカードの状況。「影響なし」という Rain の説明以上の個別公表は確認できていません
• 日本の利用者が含まれていたかどうか。3社とも国・地域別の内訳を公表していません

この記事のまとめ

• 暗号資産カードの決済基盤を提供するRainは2026年8月28日、自社のSolanaコントラクトの古いバージョンに脆弱性が見つかり、一部のプログラムが影響を受けたと公表しました
• 影響が出たのはRainの基盤を使うAviciとTriaの2社のカードサービスで、被害を受けたのは「カードにチャージした分の残高」のみです。利用者が自分のウォレットに置いたままの資産（セルフカストディ分）は無事だったと両社は説明しています
• Rainは翌8月29日、影響を受けた利用者への返金が全額完了したと発表しました
• 被害の利用者数・流出額（Avici約1,685人・約50万ドル、Tria約636人・約40万ドルなど）は、3社の投稿本文ではなくCoinPost・BitTimes・JinaCoinといった日本語メディアが伝えた数字で、記事側は各社の原文投稿がX上で省略されており最後まで確認できていないと明記しています
• AviciとTriaはいずれも金融庁の暗号資産交換業者登録一覧に掲載された事業者ではありません
• 技術的な原因の詳細、被害の総額、古いコントラクトが残っていた理由、費用の最終的な負担者、日本の利用者が含まれていたかどうかは、記事内で未確定の事項として明記されています

この記事に出てくる言葉

出典・確認日: 本記事は2026年8月30日（日本時間）に、Rain・Avici・Tria の各公式X投稿、Rain 公式サイト、および各機関の公表ページを取得して作成しました。投稿本文の一部は X の表示上で省略されており、その範囲は本文中に明記しています。掲載内容はその後変更される場合があります。

※本記事は公表された資料・発表の内容を整理した一般的な情報提供であり、特定の個人・団体・商品・サービスの利用や解約を勧めるものではありません。投資の最終判断はご自身の責任で行ってください。元本保証はなく、損失が生じる可能性があります。税務の取扱いについては税理士に、法律上の論点については弁護士にご確認ください。

運営: 株式会社シンセイサービス

あわせて読みたい

• 電子決済手段等取引業者とは？金融庁の登録一覧は国内2社、コインチェックが追加【2026年8月】
• 金融庁の暗号資産11項目要請とは？出庫制限と税制改正の現在地【2026年8月】

記事の内容に誤りを見つけた場合は、info@agito-investor.com までお知らせください。確認のうえ訂正します。