毎月、MetaMaskのLukerが知っておくべき世界のクリプトセキュリティニュースをお届けします。さっそく内容に飛び込みましょう。でもその前に…
Alan Emtageは、バルバドス系カナダ人のコンピュータ科学者で、世界初のインターネット検索エンジンと広く認められているArchieを開発しました。Archieは、ウェブが存在する以前に公開FTPアーカイブをインデックス化したシステムです。
量子コンピューティングの脅威が迫る中、EFは資金損失やネットワーク停止のリスクを先手を打って排除するため、ポスト量子セキュリティチームを結成しました。ブロックチェーンエコシステム全体の専門家たちは、この新興技術がEthereumやBitcoinなどのネットワークが依存する暗号技術を脅かす可能性について、継続的に警告を発してきました。Foundationは200万ドルの資金を投じ、チームは当面の間、週2回のミーティングを行う予定です。
Ethereumの共同創設者Vitalik Buterinはこう述べています。「『今日のEthereumのプロトコルは、暗号学的に100年間安全だ』と言えるようになることは、できるだけ早く達成すべき目標であり、誇りを持って主張すべき点です。」
Security Alliance（SEAL）はlazarus.groupのURLを取得し、クリプト企業への就職を試みる北朝鮮の工作員から身を守るために何に注意すべきかを、ユーモラスな形で示すページとして活用しています。「チームメンバー紹介」ページには、多くの既知の国家支援型脅威アクターのプロフィール写真が掲載されており、文字通りの「レッドフラッグ（危険信号）」も含まれています：
このパロディページには、北朝鮮による過去の悪意ある活動の概要も掲載されており、企業が採用プロセスを悪質な犯罪者の応募から守るために活用できる、詳細なフレームワークへのリンクも提供されています。
MetaMaskの親会社ConsensysのシニアカウンセルかつグローバルレギュラトリーアフェアーズディレクターであるBill Hughesが、Nomadハッキング事件に関するFTCの提案命令に対応する書簡を連邦取引委員会（FTC）に提出しました。Hughesは、FTCの立場がセキュリティの透明性を妨げ、業界標準ではない技術的要件（いわゆる「サーキットブレーカー」または「キルスイッチ」）を押し付けていると主張しています。
より技術中立なアプローチを求める中で、Hughesは次のように述べています：「セキュリティエンジニアリングとはトレードオフの管理です。問われるべきは『特定のコントロールを導入していたか』ではなく、『自社のアーキテクチャと脅威モデルに基づいて、損失を検知・対応・軽減するための合理的な能力を備えていたか』であるべきです。」
Chainalysisは、2025年における被害額の急増をAIの台頭と結びつけています。昨年は少なくとも140億ドル相当のクリプトが詐欺によって盗まれたことが確認されており、さらなる不正活動が明らかになるにつれ、その数字は170億ドルに達する可能性があると同社は予測しています。AIツールを活用した詐欺は従来の手法と比べて4.5倍の収益性を持ち、AIによる正規企業へのなりすましは前年比1,400%増加しているとのことです。
ディープフェイクやAI生成コンテンツにより、投資詐欺やロマンス詐欺の信憑性が高まる一方、テクノロジーがもたらすリーチの拡大とスピードの向上が、犯罪組織に大きなアドバンテージを与えています。詐欺師が同僚を装って被害者を騙すケースも発生しています。
マルウェアもAIブームの恩恵を受けており、1月にCheck Point Researchがその実態を明らかにしました。北朝鮮が支援するKONNI犯罪グループが、偽のブロックチェーンプロジェクト資料とAIが記述したPowerShellバックドアを使って開発者を標的にしました。
2026年は波乱の幕開けとなりました。1月中旬、ある個人がソーシャルエンジニアリング詐欺によって2億8,200万ドル相当のBitcoinとLitecoinを失いました。この被害額は、過去最大とされていた2億4,300万ドルの攻撃を上回るものです。ハードウェアウォレットは秘密鍵がデバイスから外に出ないため特に安全とされていますが、このようなケースでは、ユーザーが資金へのアクセスを提供するよう騙されてしまうため、その防御も意味をなしません。
その後、問題のハードウェアウォレットがTrezorウォレットであり、詐欺師が流出したAPIキーを使用したことが判明しましたが、これはTrezor固有の問題ではありません。テクニカルサポートを装う手口は詐欺師の常套手段です。また、標的はその資産価値の高さや、Ledgerユーザーが関わった月初めの注目すべき事件のように、データ侵害によって入手した連絡先情報をもとに選ばれることもあります。
悪者は休暇を取りません。むしろ、あなたが祝い事で気を緩めるのを狙っています。
例その1：この詐欺は、GrubHubの顧客に次のようなメッセージを送りつけました。「ホリデークリプトプロモーション終了まであと30分。GrubHubは送金されたBitcoinを10倍にして返金します。例えば、1,000ドル送れば10,000ドルが戻ってきます。」
例その2：ワーカホリックな@the_smart_ape氏が、家族旅行中にクリプトへの投資を公言し、ホテルのWi-Fiに接続したことで保有資産を全て抜き取られた経緯を報告しています。何度でも言います：目立つことを避けましょう！
そして、一見無害に見えるこの通知。偽のキツネが偽の新年アップデートとして標的に送りつけたものです…
皆さん、これは本物ではありません。セキュリティ研究者たちは、このMetaMaskを装った偽メールが、クリスマス当日に発生した700万ドルのTrust Walletハッキングと関連している可能性があると見ています。なんということでしょう。Cointelegraphが報じているように：
「Trust Walletのインシデントレポートによると、この事件は11月に発生した『Sha1-Hulud』サプライチェーン攻撃が原因と見られており、クリプトプロジェクトがブロックチェーンアプリケーション構築に広く使用するnpmソフトウェアパッケージが侵害されました。
Trust WalletのGitHubから開発者の「シークレット」が流出し、攻撃者はウォレットのブラウザ拡張機能のソースコードへのアクセスを得ました。」
Bleeping ComputerはTrust WalletハックとSha1-Huludのバイパス手法についてさらに詳しく報じています。
また、年末のその暗い時期に、Unleashed Protocolがマルチシグハイジャックにより390万ドルのクリプトを流出させたと発表しました。
Truebitが新年早々にエクスプロイトされ、プロトコルの準備金から2,660万ドル相当のEtherが失われ、TRUトークンはほぼ全ての価値を失いました。過去の脆弱性の亡霊が、古いスマートコントラクトのセキュリティを当然のものと思ってはならないことを改めて思い知らせてくれます…
ホリデーシーズン中も監視と防衛のために余分な時間を割いてくださった皆さんに感謝します。世界は多くの場合、防がれた無数の試みよりも、失敗した事例についてのみ耳にします。しっかり休んで、外の空気を吸ってください（雪の中でも）。
この2026年1月のレポートでは、170億ドルと予測されるAIを活用したクリプト詐欺、ハードウェアウォレットのセキュリティを突破した2億8,200万ドルのソーシャルエンジニアリング盗難、そしてTrust Walletの侵害を含むホリデーシーズンのサプライチェーン攻撃を取り上げました。エコシステム全体の脅威、トレンド、安全を保つためのヒントについては、MetaMaskクリプトセキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
