単純なコピー＆ペーストの間違いが甚大な結果を生む

ある暗号ユーザーが、自分の取引履歴からポイズニングされたアドレスをコピーした後、5000万ドル相当のUSDTをハッカー集団に寄付したと、オンチェーンセキュリティ企業のWeb3 Antivirusが伝えています。

この事件は、暗号では、経験豊富なユーザーであっても、システムの脆弱性ではなく、人為的なミスによって巨額の損失を被る可能性があることを示しています。

捜査当局の報告によると、被害者は以前、意図した受取人と合法的な取引を行っていました。しかし攻撃者は、少額の着信転送を利用して、被害者の取引履歴にそっくりな「毒入り」アドレスをさりげなく挿入していたのです。

正しいウォレットに少額のテスト取引を送信した数分後、ユーザーは知らず知らずのうちに偽アドレスへの完全な送金を実行していました。この古典的なアドレスポイズニング攻撃は、ウォレットアドレスの視覚的な類似性が、注意深いオペレーターでさえもいかにだますことができるかを示しています。

「この攻撃は、システムを破壊したのではなく、予測可能な人間の行動を悪用したものです。経験豊富な暗号ユーザーでも、自動コピーペーストの習慣に頼っていると、このような巧妙な罠に引っかかってしまう可能性があるのです」

アドレスポイズニング詐欺は、欺瞞に満ちたシンプルな戦術に依存しています。攻撃者は、正規のものに酷似した悪意のあるウォレットアドレスを作成し、極小の転送によってユーザーのウォレット履歴に挿入します。被害者が後でアドレスをコピーすると、知らず知らずのうちに攻撃者のウォレットが選択されている可能性があります。

SlowMistの創設者であるセキュリティ研究者のCos氏は、偽と本物のアドレスは最初の3文字と最後の4文字が同じで、視覚的に区別するのが非常に困難であると指摘しています。Onchainのデータによると、被害者のウォレットは2年以上アクティブで、主にUSDtの送金を扱っており、最近Binanceから資金を受け取っていたことから、休眠アカウントや危殆化したアカウントではなく、正常でアクティブな使用であることがわかります。

盗まれたUSDTを受け取った後、攻撃者はそれをイーサ（ETH）に交換し、資金を複数のウォレットに分け、プライバシーに特化したミキサーであるTornado Cashを通じて一部を洗浄しました。このケースは、アドレスポイズニングのようなソーシャルエンジニアリング攻撃は、大規模なハッキングと同じくらい壊滅的な被害をもたらす可能性があるにもかかわらず、技術的な悪用は必要なく、ただ1回、慎重に組織化された操作を行うだけでよいことを示しています。

専門家は、リスクを最小限に抑えるには、ユーザーが完全なウォレットアドレスを手動で確認し、履歴からアドレスをコピーする代わりに信頼できる連絡先リストに頼り、可能な限りENSドメインのような人間が読めるアドレスを使用する必要があると強調しています。

アドレスポイズニングは、暗号の最も陰湿な脅威の1つとして急速に浮上しており、人間の最も単純な習慣を悪用しています。より広範なエコシステムは不安定な2025年に直面しており、暗号関連のハッキングや盗難の総額は34億ドルに達し、2022年以降の年間総額で最高となりました。驚くべきことに、たった3つの大きな事件が全損失の70%近くを占めており、中でも最大の事件の1つがBybit'の14億ドルのハッキングでした。

ハイテクの脆弱性や大規模なサイバー攻撃の中にあっても、この事件は、最も高価なミスは依然として人間のものであることを証明しています。時には、たった1回のコピー＆ペーストで、壊滅的な金銭的損失を引き起こすこともあるのです。

このような事件は、暗号の採用における重大な盲点を浮き彫りにしています。ブロックチェーンシステムは設計上安全ですが、ヒューマンエラーは依然として主要な攻撃ベクトルであり、より優れたウォレットインターフェイスの設計、検証ツール、慎重な運用規律があれば軽減できる可能性があります

。