Each month、MetaMask Security DirectorのLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2025年9月、一見小さな攻撃が連鎖的に拡大し、指数関数的に大きな規模へと影響を及ぼす様子を、私たちは再び目の当たりにしました。フィッシング被害を受けたメンテナーが1人いるだけで、週に20億回ダウンロードされる18個のnpmパッケージが汚染されるには十分でした。詐欺師たちはプロの声優を雇い、電話越しに暗号資産企業の幹部をディープフェイクで偽装しました。そして、ステルス性の高い新たなマルウェアが約1ヶ月間ウイルス対策ソフトをすり抜けながら、ブラウザウォレットを空にし続けました。一方で、良いニュースもありました。LavaMoatのサンドボックス機能のおかげで、npmへの攻撃はMetaMaskユーザーに影響を与えることなく静かに無力化されました。また、Ethereum Foundationは兆ドル規模でのネットワークセキュリティ強化に向けた取り組みを着実に進めました。詳細は以下をご覧ください。まずは…
Ellen Ochoaは、スペースシャトル・ディスカバリーに搭乗した初のラテン系女性宇宙飛行士であり、後にNASAジョンソン宇宙センター初のラテン系女性所長となりました。小さな失敗が甚大な結果をもたらしかねない、複雑でリスクの高いシステムを統率することは、暗号資産セキュリティの世界にも通じる規律です。
Secret Recovery Phrase（SRP）の管理と安全な保管は、セルフカストディの責任において最も難しい側面の一つとして長らく知られてきました。鍵を失えば、暗号資産も失います。MetaMaskは、AppleまたはGoogleアカウントの認証情報と安全なパスワードを組み合わせて、ウォレットの作成・バックアップ・復元をこれまで以上に簡単に行えるようにしました。
セキュリティ強化のため、SRPは暗号化・シャード化され、別の暗号化キーが異なる場所に分散して保管されます。SRPを平文で再構成できるのはウォレットの所有者のみであるため、SRPと同様に慎重にパスワードを守ることが不可欠です。この新機能の詳細については、MetaMaskのサポートページをご覧ください。
9月初旬、これまでで最大規模のサプライチェーン攻撃の一つが発生しました。Qixというメンテナーがフィッシングキャンペーンの被害を受けた後、少なくとも18個の人気JavaScriptパッケージが侵害されました。1人または複数の脅威アクターがコードを注入し、週に20億回以上ダウンロードされるパッケージの悪意あるバージョンを公開することで、数時間にわたって暗号資産ウォレットの操作を改ざんし、攻撃が無力化されるまで資金をリダイレクトし続けました。
その後、注入されたマルウェアはワームのように振る舞い、Qixが管理する他のプロジェクトへ自動的に拡散できることが判明しました。被害は壊滅的になり得ましたが、悪意あるバージョンが削除される前に盗まれた資金は数百ドル相当にとどまりました。この事件は、オープンソースの世界における単一障害点がいかに深刻な影響をもたらし得るかを浮き彫りにしました。
幸いなことに、MetaMaskのLavaMoatは、依存関係に対してランタイム制御を適用し、それらが環境とやり取りできる範囲を制限する「サンドボックス化」と呼ばれるプロセスによって、こうした広範なサプライチェーン攻撃から保護します。悪意あるパッケージがインストールされた場合でも、LavaMoatはシークレットの外部流出、ウォレットAPIの改ざん、不正なネットワーク活動を防ぎます。MetaMaskのZbyszek Tenerowiczが述べているように：「NPMからマルウェアを実行することもできます……つまり、影響を受けることなく、という意味ですが。」
ソフトウェアエンジニアのEito Miyamuraが、OpenAIの最新ChatGPTアップデートに伴うユーザーの個人データに関するリスクを指摘し、Vitalik Buterinが議論に参加しました。Buterinは、中央集権的なAIへの依存を実行可能なガバナンスソリューションとして否定し、AIが資金配分のような重要な役割を担う場合、攻撃者は「できる限り多くの場所にジェイルブレイクと『全額よこせ』を仕込んでくる」と指摘しました。
その代わりにButerinが提案したのは、AIシステムをサードパーティの監査やランダムな人間の陪審員によるスポットチェックに開放する「インフォファイナンス」モデルです。このアプローチは、透明性とコミュニティをより安全な前進の道として重視する分散化の精神と一致しています。Ethereumの共同創設者のこの見解は、AIにおけるイノベーション・セキュリティ・説明責任のバランスをどのように取るべきかをめぐる議論の高まりを浮き彫りにしています。
暗号資産業界の米国幹部を標的にした最新の手口として、詐欺師たちは月額最大2万ドルを支払い、プロの声優を使った精巧な音声フィッシング（ビッシング）攻撃を仕掛けています。GK8の研究者たちは、成りすまし要員のチームがアンダーグラウンドフォーラムを通じて募集され、厳選されたデータセット・ディープフェイク技術・セキュリティ制御を回避するための精巧なインフラによって支援されていることを発見しました。
これらの電話ベースの攻撃は非常に個人的で、特権的なアクセス権を持つ個人を標的にしており、大規模なフィッシングから精密なソーシャルエンジニアリングへのシフトを反映しています。GK8の研究者Tanya Bekkerは、幹部は「自分の個人情報はすでに漏洩していると想定すべき」であり、「高額取引は一人の個人によって承認されるべきではない」と警告しています。
ステーキングプラットフォームのKilnは、パートナーのSwissBorgがAPIセキュリティ侵害の影響を受けたことを受け、万全を期してすべてのEthereumバリデーターを終了すると発表しました。ブロックチェーン調査者のZachXBTは、SwissBorgが約4,000万ドル相当のSOLを失ったと報告しました。Kilnはユーザーの資金は安全であり、他のEthereumアセットへの影響はないと強調し、この措置は予防的なものであると述べました。
決定が発表された時点で、Kilnはバリデーターごとに10〜42日、引き出しにはさらに9日かかると見積もりました。一方、250万ETH以上がネットワークのバリデーター終了キューに積み上がり、過度な待ち時間が発生しました。
見逃した方のために：8月下旬、Ethereum Foundationは「Trillion Dollar Security」イニシアチブと呼ばれる取り組みを通じて、ネットワークの安全性を強化する計画を発表しました。このプログラムの目標は、数十億人のユーザーが少なくとも1,000ドルをオンチェーンで保有することに安心感を持ち、機関や政府がEthereumアプリケーション上で兆ドル規模の資産を管理することに不安を感じない世界を実現することです。計画は3つのフェーズで構成されており、エコシステム全体の脆弱性のマッピング、パートナーとの修正・改善の実施、明確なセキュリティ基準の策定が含まれます。
このプログラムは、Security Allianceの創設者であるsamczsun、Sigma Primeの共同創設者兼ディレクターのMehdi Zerouali、そしてEtherealizeの共同創設者Zach Obrontによって支援されます。また、EFはEthereumのセキュリティ改善が必要な箇所についてエコシステムからの意見を募っています。
その数週間後、EFは研究者を招いて予定されているFusakaアップグレードを監査する200万ドルのコンテストの開催を発表しました。コンテストはSherlockテストネット上で9月15日から10月13日まで実施され、それぞれ10万ドルと2万5,000ドルを拠出したGnosisとLidoが共同スポンサーを務めます。このアプローチは、ネットワークの未来に対する分散型エコシステムの共同的な関与を示しています。
何が起きたか
セキュリティ研究者たちは、ModStealerと呼ばれる新たなマルウェアを発見しました。このマルウェアは約1ヶ月間ウイルス対策ソフトをすり抜けながら、Windows・Linux・Macユーザーの暗号資産ウォレットデータを窃取し続けました。攻撃者は開発者を標的にした偽の求人情報を通じてマルウェアを拡散させています。システムに侵入すると、ブラウザのウォレット拡張機能と認証情報を探し出し、すべてを密かに攻撃者のサーバーへ送信します。Macでは、システムヘルパーを装って起動時に自動実行されるよう設定まで行います。セキュリティ専門家は、盗まれた秘密鍵とシードフレーズは人々の資金への直接アクセスを意味するため、暗号資産保有者にとって深刻な問題であり、検出ツールをすり抜けられるという事実が暗号資産空間全体への現実的な脅威となっていると指摘しています。
ユーザーが安全を保つために
ベストプラクティスとして、特に求人情報や暗号資産関連のコンテンツを検索する際には、アクセスするサイトに常に注意を払うことが挙げられます。信頼できる情報源を参照して真正性を確認してください。いかなる種類の一方的なオファーも最大限の注意を持って扱い、多くの場合は完全に無視することが賢明です。また、ハードウェアウォレットなどのコールドストレージオプションを大きな暗号資産に活用することは、資金を安全に保つための最善策の一つです。
何が起きたか
クリプトジャッキングキャンペーンが、設定ミスのあるDocker APIを標的にXMRig暗号資産マイナーをインストールしており、攻撃者はTORネットワークを使って痕跡を隠しています。マルウェアは他の公開されたDockerインスタンスをスキャンすることで拡散し、TelnetおよびChromeリモートデバッグポートへの攻撃用の休眠コードを含んでいます。これは攻撃者がより大規模なボットネット構築を目指している可能性を示唆しています。
ユーザーが安全を保つために
研究者たちは、組織はAPIアクセスを厳格に制限し、ネットワークを適切にセグメント化し、デフォルトの認証情報を変更することで、これらの攻撃から身を守る必要があると強調しています。
何が起きたか
CertiKによると、暗号資産ハッキングは7月から8月にかけて13%以上急増し、約1億7,300万ドルが盗まれました。フィッシング詐欺だけでその総額の1億100万ドルを占めています。今月最大の被害には、9,100万ドルという巨額のフィッシング攻撃と、BTC Turkへの5,300万ドルのハッキングが含まれます。
これは6月から続いているトレンドの一部であり、専門家は毎月損失が増加し続けると予測しています。防御が進化しているにもかかわらず、こうした基本的なフィッシング詐欺は依然として非常に効果的です。あるCEOは、組織犯罪グループが実質的に「テックスタートアップ」へと変貌し、詐欺をサービスとして提供していると指摘しました。
ユーザーが安全を保つために
ソーシャルエンジニアリング攻撃が特に効果的なのは、人間という要素が最も防御の難しい攻撃対象となるためです。常に相手が誰であるかを確認し、一方的なあらゆる通信には警戒してください。メールやテキストメッセージ内のランダムなリンクは絶対にクリックしないでください。話している相手が本人ではないかもしれないという少しでも疑念を感じたら、勤務先への電話や別の安全な方法による本人確認など、別の手段で直接その人物に連絡を取る方法を見つけてください。
MetaMaskの2025年9月暗号資産セキュリティレポートでは、18個のパッケージに影響を与えた大規模なnpmサプライチェーン攻撃、暗号資産幹部を標的にした個人向け音声フィッシング、2025年8月の暗号資産ハッキングの急増（1億7,300万ドル盗難、1億100万ドルがフィッシング被害）、そしてEthereum Foundationの「Trillion Dollar Security」イニシアチブを取り上げました。エコシステム全体での安全を保つための脅威・トレンド・ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーもご覧ください。
AIによる翻訳です。エラーが含まれている可能性があります。常に情報を確認してください。
