毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2025年2月は、ある一つの出来事が話題を独占しました。それは、ブロックチェーン史上最大となる14億ドルのBybitハッキング事件であり、FBIによってLazarus Groupの犯行と正式に認定されました。Safe{Wallet}の開発者マシンが一台侵害されただけで、これだけの被害が生じたのです。しかし、被害はそれだけではありませんでした。Solareum取引ボットチームに潜入した北朝鮮人開発者が140万ドル相当のSOLを持ち逃げし、SparkCat OCRマルウェアがiOSとAndroid両方のスマートフォンのフォトギャラリーからリカバリーフレーズをスキャンし始め、さらに暗号資産ユーザーを狙った偽のミーティングを悪用する新たなZoom詐欺の手口が登場しました。明るいニュースとしては、FBIのOperation Level Upが2億8,500万ドルを回収し、4,300人をpig butchering詐欺から救出したこと、そして東京で開催されるSECCON 2025に先立ち、LavaMoatがブラウザ拡張機能のセキュリティ分野で高い評価を得たことが挙げられます。詳細は以下をご覧ください。まずは…
データサイエンティストのValerie Thomasは、イリュージョントランスミッターを発明し、NASAのLandsatプログラム初期に画像処理システムで使用されたデジタルメディアフォーマットの開発を担いました。
WalletGuardチームからMetaMaskに加わったMichaelK.ethが、この巧妙なZoom詐欺を回避する方法を解説します。
2024年3月、SolanaベースのTelegram取引ボットであるSolareumは、採用した北朝鮮人開発者にプロジェクトを悪用され、140万ドル相当のSOLを失いました。この事件は、サイバー窃盗を目的として北朝鮮の工作員がテック企業に潜入するリスクが高まっていることを浮き彫りにしています。
Taylor Monahanは、Solareumのチームが事件後に非協力的な態度に転じ、アカウントやコミュニティチャンネルを閉鎖したことで、資金回収の取り組みが困難になったと指摘しています。この最新の採用詐欺による侵害は、ユーザー資産を進化するセキュリティ脅威から守るために、暗号資産プロジェクトにおける採用審査の厳格化と透明性の確保が不可欠であることを改めて示しています。
CTF（Capture the Flag）リサーチグループC4T BuT S4Dのslonserから高い評価をいただいたことを、私たちは大変誇りに思っています。来月開催される東京のSECCON 2025では、ブラウザ拡張機能のサプライチェーンセキュリティが取り上げられる予定です。続報にご期待ください。
MetaMaskのTaylor Monahanとセキュリティ研究者のJonty「Zeroshadow」が、ブロックチェーンジャーナリストのLaura Shinが司会を務めるUnchained Podcastに出演し、ブロックチェーン史上のみならず史上最大のハッキングと称されるこの事件について議論しました。以下にハイライトをご紹介します。
「大規模なハッキングが起きると、人々はすぐに特定の製品に目を向けがちです…しかし一般的に、特にLazarusの場合、どのウォレットを使っているかはほとんど関係ありません。人間のデバイスへの最初のアクセスを得ると、彼らはじっと観察し、まずあなたの業務内容や行動を把握しようとします。完璧に守ってくれる製品など存在しません…彼らはあなたに合わせてカスタマイズされた計画を立ててきます。」 - Taylor Monahan
「SEAL 911のリーダーであるPascalが、非常に役立つユーティリティをGitHubでオープンソースとして公開しています。完全無料で使えるbashスクリプトで、署名しようとしている[Gnosis] Safeのトランザクションが、実際に意図したものと一致しているかを確認できます…多くの場合、そのツールだけで何かがおかしいと気づくには十分であり、プロトコルや取引所などすべてを終わらせかねない二つのボタンを押さずに済みます。」 - Jonty
「こうしたトランザクションを実行する際は、慎重すぎるくらいでちょうどいいです。日常的な作業で、いつもやっていることかもしれませんが、取引所を完全に破壊してしまう可能性が十分にあります…だから、辻褄が合わないことがあったり、エラーが出たり、何かおかしなことが起きていたりしたら、作業を止めて調査してください…エラーに遭遇しても、強引に突き進もうとする人があまりにも多いです。」 - Jonty
Bybitとマルチシグセキュリティについてさらに詳しく知りたい方は、以下の追加情報もご覧ください。
図解：Bybitの記録的な14億ドルのハッキング（TaylorとZachXBTが登場）
次の15億ドル規模のBybitハッキングを防ぐには：ブラインドサイニング問題を解決するための戦略的アプローチ（MetaMaskパートナーのBlockaidによる考察）
マルチシグスキームへの多層防御の適用（Consensysのプリンシパルセキュリティエンジニア、Herman Jungeによる解説）
最大規模の年次Web3イベントの一つであるETHDenver 2024では、Bybitハッキングに関する情報と憶測が飛び交い、多くのパネルやサイドイベントに暗い影を落としました。この不正行為は（誰もが予想していた通り）FBIによってLazarus Groupと正式に関連付けられました。Safe{Wallet}は、この攻撃が「Safe{Wallet}の開発者マシンの侵害を通じて達成され、偽装された悪意あるトランザクションの提案につながった」と公表しました。
ブロックチェーン分析会社のEllipticは、「コミュニティメンバーが制裁へのエクスポージャーを最小限に抑え、盗まれた資産のマネーロンダリングを防ぐ」ことを目的として、ウォレットアドレスのデータフィードを公開しました。Bybitは、Sygniaによる予備的なフォレンジックレポートの公開とバウンティの立ち上げに加え、Web3セキュリティ企業のZeroShadowの協力を得て、さらなる情報の解明に取り組みました。
こうした動きが続く中、ブラインドサイニングの問題点や「インシデントを利用するのではなく、そこから学ぶ」ことの重要性に関する議論は、見過ごされてしまったかもしれません。
MetaMaskを安全なウォレットのリストに掲載してくださったQuartzに心より感謝申し上げます。拡張機能とモバイルの両方で新規ユーザーにセキュリティ機能を提供する非カストディアルウォレットとして、選出されたことを誇りに思います。
FBIのOperation Level Upが暗号資産詐欺に対して大きな成果を上げており、4,300人以上が合計2億8,500万ドルを失うことを防ぎました。この取り組みは「pig butchering」詐欺を標的としており、詐欺師が被害者の信頼を築いた後、偽の暗号資産スキームへの投資を勧める手口です。
資金が送金される前に介入することで、FBIは人生を変えかねない損失を防ぐことに成功しており、ギリギリのタイミングで救われたケースもあります。資金回収にとどまらず、この作戦では被害者への支援や、詐欺が起きる前に見抜いて回避するための啓発活動も行っています。
アラバマ州出身の25歳、Eric Council Jr.は、2024年1月にSECのX（旧Twitter）アカウントをハッキングしたことを認めました。その目的は、Bitcoin ETFに関する偽の発表を投稿し、Bitcoinの価格を一時的に1,000ドル以上急騰させることでした。Councilとその仲間は「SIMスワップ」を使ってアカウントを乗っ取るという手口でこの不正行為を実行しました。現在、彼は最大5年の禁固刑と25万ドルの罰金に直面しています。
新たなPhantomウォレットユーザーを標的とした巧妙なフィッシング手口が確認されています。詐欺師はまず正規のPhantomウォレットに接続し、その後「拡張機能のアップデート」という偽の署名リクエストでユーザーを騙します。ユーザーがこのリクエストを承認すると、偽のモーダルが表示され、シードフレーズの入力を求めます。この手口は、ユーザーをSRPの漏洩に誘導するよう巧妙に設計されています。
ユーザーが自身を守るための方法
いかなるウェブサイトやポップアップにもシードフレーズを入力しないでください。偽のポップアップを見分けるには、URLを確認してください。Phantomのネイティブポップアップには、ウェブページでは再現できない「chrome-extension://...」で始まるURLが表示されます。本物のPhantomポップアップはシステムウィンドウのように動作し、最小化・最大化・リサイズが可能ですが、偽のポップアップはブラウザのタブ内に固定されています。ウォレットのセキュリティを守るため、常に注意を怠らないようにしてください。このアドバイスはMetaMaskユーザーにも当てはまります。同様のシードフレーズ詐欺が広まっているためです。常に正規の拡張機能を使用していることを確認し、シードフレーズを求めるリクエストには十分注意してください。
何が起きたか
Abstractのセキュリティチームが、The Portal内のサードパーティアプリであるCardexを起点とするエクスプロイトを検知・無効化しました。この事件は、Abstract Global Wallet（AGW）やAbstractネットワークの脆弱性によるものではありませんでした。原因は、Cardexチームが誤ってウェブサイトのフロントエンドにセッション署名者の秘密鍵を公開してしまったことにあります。この漏洩により、攻撃者はCardexとのセッションキーを承認したすべてのウォレットに代わってトランザクションを開始することが可能になりました。このエクスプロイトによる被害額は約40万ドル相当のトークンに上ります。
ユーザーが自身を守るための方法
潜在的な攻撃ベクターから身を守るため、ユーザーはAbstractウォレット内のアプリやトークンに対する承認と権限を定期的に取り消すべきです。これはhttp://revoke.abs.xyzのRevokeツールから実行できます。
何が起きたか
研究者たちが、公式・非公式のアプリストアを通じてAndroidおよびiOSユーザーを標的とする新たなマルウェアキャンペーン「SparkCat」を発見しました。このマルウェアはOCR（光学文字認識）を使用して、ユーザーの画像ギャラリーから暗号資産ウォレットのリカバリーフレーズをスキャンします。感染したアプリの一部はGoogle PlayとApp Storeで公開されており、合計24万2,000回以上ダウンロードされています。このマルウェアは、侵害されたアプリとのセッションキーを承認したすべてのウォレットに対してトランザクションを開始できます。
ユーザーが自身を守るための方法
このマルウェアから身を守るため、SRPなどの機密情報をデバイスのフォトギャラリーに保存しないようにしてください。感染したアプリ（下記参照）をインストールしている場合は、直ちに削除し、資金を新しいウォレットに移すことを検討してください。
MetaMaskの2025年2月暗号資産セキュリティレポートでは、Lazarus Groupと関連付けられた14億ドルのBybitハッキング、iOSとAndroidのフォトギャラリーから暗号資産のリカバリーフレーズをスキャンするSparkCat OCRマルウェア、そしてFBIのOperation Level Upによるpig butchering詐欺からの2億8,500万ドル回収について取り上げました。エコシステム全体で安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
