暗号資産セキュリティレポート：2025年8月

毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。

2025年8月も、共通のテーマが続きました。慎重で経験豊富なセキュリティ担当者でさえ、詐欺の被害に遭う可能性があるということです。10年間にわたって完璧なオペレーショナルセキュリティを維持してきたEthereumのコア開発者が、タイポスクワッティングによるAIコーディング拡張機能一つでウォレットを失いました。AIが生成したマルウェアがnpmに紛れ込み、削除される前に1,500回以上ダウンロードされました。そして、LastPassの情報漏洩は今月も再び頭をもたげ、侵害されたToptalのGitHub組織を通じて再浮上しました。脅威はますます、ユーザーがデフォルトで信頼している開発者ツールやサプライチェーンの中に潜むようになっています。だからこそMetaMaskは、これらの脅威を軽減するために設計された新しいLavaMoatツール「Kipuka」をリリースしました。詳細は以下をご覧ください。まずは…

注目のSTEMの先駆者：Alonzo Churchとラムダ計算の開発

数学者Alonzo Churchは、コンピュータサイエンスの基礎的なフレームワークであるラムダ計算を開発しました。彼は弟子のAlan Turingとともに、問題がそもそも計算可能であるとはどういうことかを定義するChurch-Turing論文を生み出しました。システムが何をできて何をできないかを厳密に論証するための形式的な基盤を構築するという姿勢は、証明可能で検証可能なセキュリティの背後にある考え方と同じです。

MetaMask、新しいLavaMoatツールキット「Kipuka」をリリース

KipukaはMetaMaskの新しいLavaMoatセキュリティツールキットで、有害なnpmパッケージから開発者を保護するために設計されています。具体的には、悪意のあるnpmパッケージがインストール時や開発中に開発者のローカルマシンに害を与えたり侵害しようとする攻撃が成功する可能性を低減することを目的としています。スティーラーマルウェアの普及やnpmパッケージ内に配布されるデスクトップを標的にしたワームの増加を背景に、Kipukaはインストールスクリプトに限らない攻撃であっても無効化することを目指しています。

開発環境をコンテナやVirtual Machine（VM）に入れること自体は新しいことではありません。Kipukaがユニークな点は、一度インストールすれば、セキュアな環境をセットアップしたり起動したりすることを意識せずに、npm cli（または他のパッケージマネージャー）への呼び出しを透過的にコンテナ内で実行できることです。

Kipukaの早期アクセスを取得して、ベータリリース前にさまざまなワークフローや設定との互換性をテストしてみてください。

LavaMoat Webpack Pluginが互換性アップデートを実施

MetaMaskのLavaMoat Webpack Pluginも2025年8月にアップデートを受け、Webpackの機能、ブラウザの機能、およびエコシステムとの互換性が向上しました。このプラグインはベータ版から正式版になりました。今すぐWeb UIプロジェクトに導入し、最新のLavaMoatリリースを常にチェックしてください。

Googleがすべてのノンカストディアルウォレットをアプリストアから禁止するというFUDは誤り

8月中旬、GoogleがまもなくノンカストディアルウォレットをApp Storeから禁止するという噂がCT（Crypto Twitter）で広まり始めました。しかしそれは事実ではなく、Google自身によって否定されました。要約すると：MetaMaskは引き続きご利用いただけます。

Coinbase、約7万人の顧客データ漏洩後にZKを活用したマネーロンダリング対策の刷新を推進

約7万人の顧客に影響を与えた大規模なデータ侵害から数ヶ月後、Coinbaseは「時代遅れ」と呼ぶ金融犯罪法の潜在的な解決策として、暗号学的プライバシーツールを指摘しています。銀行秘密法（BSA）は「紙ベースのコンプライアンスプロトコルと、資金移動に数日かかっていた金融システムを反映した、数十年前の要件に今も根ざしている」と、CoinbaseのChief Legal OfficerであるPaul Grewalは説明しています。

「顧客がKYCプロセスを繰り返すたびに感じる煩わしさを超えて、これらの個人ファイルは犯罪者にとってのハニーポットです。企業は法律によってあなたのデータを何年も保持し、そのデータを官僚に送ることを義務付けられています。」CoinbaseはBSA法を直接データ漏洩の原因として非難しているわけではありませんが、同社はBSAの規制要件とそれに伴うリスクについてのより広い議論へと話題を転換しようとしているように見えます。今後の展開については引き続きお伝えします…

ローマン・ストーム有罪判決を受け、トルコが暗号資産研究者Fede Internを拘束

Tornado Cash開発者のRoman Stormの裁判と有罪判決を受け、Fede's Intern（別名Federico Carrone）として知られる研究者が、トルコへの入国を試みた際にトルコの空港職員に身柄を拘束されました。彼は内務大臣によって提起された訴訟により拘束されましたが、その訴訟では彼がEthereumを悪用する人々を支援したと非難されていました。彼とこの件との唯一の関連性は、Tornado Cashの非匿名化技術を探求した論文を執筆したことのようです。CarroneはTornado Cashのプライバシー機能を開発したことは一切ありません。

「内務大臣は、プライバシープロトコルに関連して、私が他者によるEthereumの悪用を支援したと非難する訴訟を提起しました」とCarroneは語りました。「トランザクションをプライベートにするコードを書くことは、あなたを犯罪者にしません。犯罪者とは法律を破る者です。」

MetaMaskのTaylor Monahanもこれについてコメントしました。「米国の暗号資産へのアプローチが持つ、より興味深く報道されていない欠点の一つは、他の国々、そして世界全体に与える影響です。多くの場合、無能、機能不全、そして完全な腐敗のどこかに位置する国々への影響です。」

LastPass情報漏洩の余波が続く：ToptalのGitHub侵害

ソフトウェア会社ToptalはそのGitHub組織が侵害され、一部のパッケージに悪意のあるスクリプトが追加された状態で公開されました。これは、マルウェアが確立されたパッケージに密かに忍び込むという広範な詐欺トレンドを反映しています。

ハッキングに関するニュースを受け、Toptalはまた、PicassoとXeneの両パッケージが2025年6月20日に数時間にわたって侵害されていたことも明らかにしました。Toptalはこのインシデントが、LastPass情報漏洩による認証情報の侵害と関連していると考えています。

巨大なLastPassの情報漏洩の余波への対処が終わったと思っていたなら、考え直してください！暗号資産は、かつても今も、初期の標的に過ぎません。情報漏洩前にLastPassに保存していたものはすべて更新してください。

カナダ主導のグローバルサイバー連合「Project Atlas」が7,000万ドル以上の盗まれた暗号資産を発見

Project Atlasは、オンタリオ州警察のサイバー詐欺対策チーム（CEFT）が主導する被害者中心のイニシアチブで、投資詐欺の特定と阻止に焦点を当てています。カナダが主導しながらもグローバルな規模で展開され、法執行機関と民間セクターの関係者による国際的な連合を結集しています。これまでに、2,000以上のウォレットから7,000万ドル以上の盗まれた暗号資産を発見し、5,000万ドルを凍結しました。

悪意のあるAI拡張機能がEthereumコア開発者のウォレットを空に

何が起きたか

Coin Telegraphが報じたところによると、Ethereumのコア開発者であるZak Coleが、適切なオペレーショナルセキュリティを維持していたにもかかわらず、悪意のあるAI Cursor拡張機能によってウォレットを空にされました。「10年以上、ハッカーに1weiも失ったことはありませんでした。それが先週、コントラクトを急いでリリースしようとしたときに…」とColeは説明しました。

この攻撃は、タイポスクワッティングを利用して正規の拡張機能を模倣した悪意のある拡張機能を作成することで機能しました。今回の場合、攻撃者は著名なパブリッシャーであるJuan Blancoになりすますことで、正規のSolidity拡張機能を偽装しました。悪意のある拡張機能は「Juan Blanco」ではなく「Juan Bianco」として公開されていました。

ユーザーが安全を保つ方法

急いでリリースしようとしているときでも、常に細部まで確認することを忘れないでください。フォーマットの違いにより、悪意のある拡張機能の一部の文字やデザイン要素が同じように見える場合があり、これが悪用される可能性があることを覚えておいてください。

詐欺師はアプリストアで偽の拡張機能の広告を掲載することさえできます。自分を守るために、IDEに拡張機能を追加する前に、その公開日を確認することを忘れないでください。Coleはまた、数日前に公開されたにもかかわらず、ダウンロード数が非常に多かったことも指摘しました。拡張機能がそれほど短期間でそのようなダウンロード数を集めることは極めて異常です。サイトの説明文における不自然な単語の組み合わせや、ありえない場所にある開発者の所在地に注意してください。

DPRK（北朝鮮）ハッカーのデバイス解析により、暗号資産プロジェクトへの北朝鮮の潜入戦略が明らかに

何が起きたか

身元不明のセキュリティ研究者がDPRKのITハッカーのデバイスに侵入し、小規模な北朝鮮チームがソフトウェア職に採用される偽のペルソナを広範に管理している実態を明らかにしました。ZachXBTが明かしたところによると、このDPRKのITクルーは5つの暗号資産企業に深く入り込んでいました。ハッカーたちは偽の身分証明書、LinkedInアカウント、Upworkアカウントを購入することで仕事を得ています。この戦術により、信頼できる開発者としての評判を築くことができます。

ユーザーが安全を保つ方法

暗号資産企業で侵害されたと思われる場合：まず、DPRKの作業者の公開されたLinkedIn、GitHub、メールアカウントが自社組織の一部でないことを確認してください。次に、採用プロセスを変更して、候補者の所在地を確認する方法を取り入れてください。

AIが作成したマルウェアが削除前に1,500回以上ダウンロードされる

何が起きたか

AIが生成したマルウェアがNPMにアップロードされ、削除される前に1,500人以上にダウンロードされました。このパッケージはpostinstallスクリプトを利用して被害者の秘密鍵を侵害しました。postinstallスクリプトはWindows、Mac、Linuxデバイス上で隠蔽されるよう設計されていました。インストールされると、マルウェアは秘密鍵を保存しているファイルをスキャンしました。

ユーザーが安全を保つ方法

開発者はLavaMoatが作成したセキュリティコントロールを使用することで安全を保てます。@lavamoat/allow-scriptsとKipukaを活用することで、悪意のあるpostinstallスクリプトがアプリに侵入するのを防ぐことができます。さらに、評判の良いソースからリリースされたプロジェクトのみをダウンロードして実行することが重要です。未検証または人気のないパッケージをダウンロードする必要がある場合は、使い捨てのVMでダウンロードして実行することをお勧めします。そうすることで、VMが侵害された場合でも、個人のコンピューターの秘密情報が保護されます。

MetaMaskの2025年8月暗号資産セキュリティレポートでは、Kipukaという新しいLavaMoatツールのリリース、CoinbaseによるZKを活用したマネーロンダリング対策刷新の推進、北朝鮮のIT潜入戦略を明らかにしたDPRKハッカーのデバイス、悪意のあるAI拡張機能によってウォレットを空にされたEthereumコア開発者、そしてトルコによる暗号資産研究者Fede Internの拘束について取り上げました。エコシステム全体で安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。