Each month, MetaMask Security Director Lukerが最新の暗号資産攻撃と新たなリスクについてレポートをお届けします。
2025年7月は、ウォレット、消滅したプロジェクト、ブラウザ拡張機能へのなりすましが相次いだ月でした。Firefoxでは、暗号資産ウォレットを装った40以上の不正拡張機能が公開されました。攻撃者は廃止された暗号資産プロジェクトの期限切れドメインを再取得し、誤ってアクセスしたユーザーの資産を奪いました。また、オープンソースのEthereum拡張機能に、巧妙に仕掛けられたプルリクエストを通じて2行の悪意あるコードが挿入されました。一方で、善意の側にも嬉しいニュースがありました。GMXはホワイトハットバウンティにより4,200万ドルのハッキング被害のほとんどを回収。米国の機関は北朝鮮による大規模な個人情報窃取ネットワークを解体し、ギリシャは初の暗号資産差し押さえを実施しました。詳細は以下の通りですが、まずは…
物理学者の呉健雄（Chien-Shiung Wu）は「核研究の女王」と称され、マンハッタン計画に参加した後、物理学者たちが当然の真理と信じていたパリティ保存の法則を覆す実験を設計しました。「既知」の前提を盲目的に信じることなく、それを証明または否定する精密な検証を行うという姿勢は、健全なセキュリティ活動の根幹でもあります。
Patrick CollinsによるMetaMask Snap「Wise Signer」のスマートなデモをご覧ください。このSnapはAIを使ってウェブを調査し、不審なアドレス、コールデータ、ネットワークに基づいてトランザクションが脆弱である可能性を判断します。現在ベータ版ですが、コードのレビューは今すぐ可能です。また、サポートページでMetaMask Security Snapsについての詳細もご確認いただけます。Patrickさん、この戦いへのご貢献に感謝します。
MetaMaskは、モバイル（iOSおよびAndroid）とChromeにおけるCoinspectの最もセキュアなweb3ウォレットランキングで引き続き1位を維持しています。ブラウザ拡張機能のセキュリティにおいても、脅威防止率100%の評価を獲得しました。
Coinspectといえば、最近彼らが憂慮すべきトレンドを報告しています。脅威アクターが廃止された暗号資産プロジェクトのドメインを再登録し、以前に確立された評判を悪用してセキュリティチェックを回避した上でユーザーから資産を奪うというものです。Coinspectはこれらいわゆる「ゾンビdapp」を100件以上特定・報告するため、DeFiプラットフォームやセキュリティグループと連携しています。
7月9日、GMXのArbitrumベースのV1 GLP流動性プールが4,200万ドルの被害を受けました。ハッカーがリエントランシー攻撃を利用して過剰なGLPトークンをミントしたためです（同社のポストモーテムより）。GMXはHexegateからエクスプロイトの通知を受けた直後に取引を停止し、盗まれた資金の大部分が他のデジタル資産に交換されたことをオンチェーン活動の追跡により確認しました。GMXは48時間以内に資金を返還すれば法的措置を取らないことを約束した上で、10%のホワイトハットバウンティを提示。攻撃者は「了解、後で資金を返す」というカジュアルなメッセージを送った後、約450万ドルを手元に残し、残りをGMXに返還しました。
シークレットサービスのグローバル捜査オペレーションセンター（GIOC）はデジタル金融犯罪の追跡を専門とし、現在は世界最大規模のコールドウォレットの一つに回収した暗号資産の大部分を保管しています。GIOC捜査官は通常、オープンソースツール、ブロックチェーン分析、ドメイン登録情報を捜査に活用しています。シークレットサービスはさらに、60カ国以上の法執行機関や検察官にトレーニングを提供しています。
Chrome拡張機能のマルウェアや危険な権限によるサプライチェーン攻撃への対策として、Socketはビルダーを招待し、リアルタイムスキャンと分析を使用した新製品ラインのテストを行っています。このツールは軽量でプライバシーを保護するよう設計されており、NPM、PyPI、Go、Mavenなどのパッケージディレクトリのリスク指標も表示します。リスクシグナルには、難読化またはインストールスクリプト、高エントロピーまたは不審な文字列、タイポスクワッティングされた名前、危険なAPIなどが含まれます。将来的にはChrome以外にもカバレッジを拡大する予定です。
ReversingLabsのセキュリティ研究者が発見したところによると、オープンソースツールキットforETHCodeのPRに2行の不正コードが挿入されていました。この特定のコードがトークンやデータの窃取に使用された証拠はまだありませんが、「被害者のマシンに保存された暗号資産を盗む」または「拡張機能のユーザーが開発中のEthereumコントラクトを侵害する」ことが意図されていたと推測されています。
このニュースは、悪意ある拡張機能や侵害された拡張機能、そしてサプライチェーン攻撃に関する懸念を改めて強調するものとなりました。
6月下旬、司法省が発表した協調作戦により、複数の逮捕・起訴が行われ、200台以上のノートパソコン、29の金融口座、21の詐欺ウェブサイトが押収されました。DOJは、16州にわたる北朝鮮支援の悪意ある活動を発見し、その内容には個人情報窃取や、暗号資産企業を含む100社以上の米国企業への侵入が含まれていました。
その1週間後、財務省の外国資産管理局（OFAC）が、雇用詐欺に使用するためにそのような情報を窃取・販売することに関与した2名を制裁したと報告されました。これらの計画で得た収益はDPRKの弾道ミサイルプログラムを支援していることが知られています。
Raymondip BediとPatrick Mavangaは、2017年から2019年の間に少なくとも65人に対して詐欺的な暗号資産コンサルティングサービスを販売したとして起訴され、合計12年の禁固刑を言い渡されました。Crypto Timesの報道によると、「両名は詐欺、規制違反、マネーロンダリングを含む複数の罪状を認めました。さらにMavangaは証拠隠滅と偽造身分証明書の所持でも起訴されました。」英国金融行動監視機構（FCA）が主導したこの訴追は、暗号資産犯罪取り締まりに向けた同機関の大規模な取り組みの一環であり、FCAは資金の回収を試みています。
ギリシャのマネーロンダリング対策機関（HAMLA）は、初の暗号資産差し押さえを実施しました。ChainalysisおよびPerformance Technologiesと連携し、HAMLAはBybytの15億ドルの取引所ハッキングから盗まれた資産の一部を追跡・凍結しました。この世界規模の回収活動は、「最先端のブロックチェーン分析ツールと専門的なトレーニング、そして国際協力を組み合わせることで、世界的な暗号資産犯罪に対抗する力」によって実現しました。なお、Bybytは今年初め、北朝鮮のLazarus Groupによるとされるハッキングで15億ドルの損失を被っています。
何が起きたか
Koi SecurityのYuval Ronenが、MetaMaskを含む暗号資産ウォレットを装った単一のキャンペーンに関連する40以上の悪意あるFirefox拡張機能の発見を共有しました。2025年4月に始まったこの脅威は現在も活発で、「標的となったウェブサイトから認証情報を抽出し、攻撃者が管理するリモートサーバーに送信する」ほか、外部IPアドレスの送信にも使用されています。これらの偽拡張機能は正規のものに見え、悪意ある高評価レビューを利用してユーザーを騙します。証拠はロシア語話者の犯行者を示しています。
ユーザーが身を守る方法
Ronenはレポートと合わせて、安全を保つための推奨事項も共有しています：
認証済みパブリッシャーの拡張機能のみをインストールし、高評価のリストであっても慎重に扱う。
ブラウザ拡張機能をフルソフトウェア資産として扱い、審査、監視、ポリシーの適用を行う。
拡張機能の許可リストを使用し、事前に承認・検証された拡張機能のみのインストールに制限する。4. 一度きりのスキャンではなく、継続的な監視を実施する。拡張機能は自動更新され、インストール後に動作が静かに変わる可能性がある。
何が起きたか
ソーシャルメディアは引き続き、暗号資産を狙ったソーシャルエンジニアリングの温床となっています。Krebs on Securityは、正規に見える「詐欺ギャンブル（scambling）」サイトが、無料クレジットやMr. Beastなどの著名人による偽の推薦を謳った広告でユーザーを引き付ける手口を報告しています。ユーザーは「クレジット」を受け取るためにアカウントを作成し、洗練されたゲームで遊んだり賭けをしたりできます。しかし、これらの詐欺ギャンブルスキームは典型的な豚の屠殺詐欺（pig butchering scam）の特徴を共有しています。ユーザーは出金できず、代わりに追加の「確認デポジット」を求められたり、「回収専門家」への相談を促されたりします。
ユーザーが身を守る方法
クレジットの受け取りにデポジットを要求するゲームサイト、特に出金にデポジットを要求するサイトには注意してください。暗号資産の回収サービスの大多数は詐欺であり、正規のサービスは通常、数万ドル単位の高い最低基準を設けていることを覚えておいてください。インフルエンサーが関与するプロモーションは、必ず認証済みチャンネルで確認してください。
何が起きたか
SentinelOneが最初に報告したように、web3企業を攻撃する新たな手法として、北朝鮮のアクターがNimベースのmacOSバックドア「NimDoor」を使用し、暗号化されたWebSocketを通じて認証情報を盗み、データを外部に送信しています。このマルウェアはAppleScriptとプロセスインジェクションも使用しています。
より大規模なBabyShark作戦の一環として、攻撃者はClickFix型フィッシング戦術を採用しており、標的を緊急性で煽り、無害に見せかけた危険なリンクをクリックさせます。これらの活動は高度持続的脅威（APT）グループKimsukyに関連付けられています。
ユーザーが身を守る方法
緊急の行動を促されても、必ず立ち止まって状況を確認し、情報源を検証してください。採用プロセスの一環としてファイルをダウンロードすることには注意してください。リモートAppleScriptの実行を無効にし、すべてのシステムとソフトウェア（ブラウザ、拡張機能、スクリプトランタイムなど）を最新の状態に保ってください。未知のドメインへのWebSocket接続、異常なプロセスインジェクション、アプリ起動時に実行されるスクリプト、macOSを使用している場合はlaunchエージェントやシグナルハンドラーによる永続化に注意してください。
やられないようにしましょう♪
MetaMaskの2025年7月暗号資産セキュリティレポートでは、暗号資産ウォレットを装った40以上の偽Firefox拡張機能、ホワイトハットバウンティで解決されたGMXの4,200万ドルのリエントランシーハック、廃止された暗号資産プロジェクトのドメインを復活させるゾンビアプリについて取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
