フィッシング攻撃

チェーン上の探偵SpecterはXプラットフォームで投稿し、盗まれたデータがカバーする期間を考慮すると、データ漏洩は4月にすでに発生していた可能性があり、遅くとも5月初旬には発生していたが、関係者は最近まで、Trezorが自社のデータ漏洩を発表したのとほぼ同時に沈黙を守ることを選んだと述べています。一部のユーザーは当時、フィッシング攻撃を受けて資産を失っていましたが、関係者は透明性を保たず、ユーザーに警告やリスク提示を行わず、データ漏洩を否定しました。

Bitcoin News は X プラットフォームで、Trezor が物流サービスプロバイダー ShipMonk のセキュリティ脆弱性により顧客データが漏洩したと述べています。過去 90 日間にアメリカ、イギリス、スウェーデン、コロンビア、ブラジル、イタリア、またはポルトガルで注文を受けた顧客が影響を受ける可能性があります。漏洩したデータには、氏名、配送先住所、電話番号、メールアドレス、注文番号が含まれます。Trezor はそのシステムが侵害されていないこと、デバイスは依然として安全であることを述べていますが、影響を受けた顧客に対して漏洩した情報を利用した巧妙に設計されたフィッシング攻撃に対する警戒を呼びかけています。

Cryptopolitan の報道によると、サイバーセキュリティ会社 Malwarebytes は、あるサイバー犯罪フォーラムのユーザーが 500 ドルで「詐欺ツールキット」を販売していることを発見しました。このツールキットを使用すると、ほとんど技術的なバックグラウンドがなくても、偽のテスラ $TSLA トークンのプレセールサイトを構築できます。詐欺の流れは次の通りです：訪問者が X ユーザー名を入力すると、ページにその実際のアバターが表示され、「ターゲット招待」の錯覚を作り出します。カウントダウンと価格上昇の警告を組み合わせて緊迫感を演出します。被害者が「15% ボーナスリンクウォレット」オプションを選択すると、12 語のリカバリーフレーズを入力するよう求められ、その結果ウォレットが空にされます。直接「投資」を選択した場合は、詐欺者が管理するアドレスに暗号資産を送信する必要があり、その後、偽のダッシュボードで偽造された残高を見ることになります。このツールキットのコントロールパネルは、オペレーターがリアルタイムで被害者を追跡し、リカバリーフレーズを収集し、ウォレットの残高を事前に確認して攻撃するかどうかを決定することを可能にします。Malwarebytes は 5 月 16 日にこのツールを発見し、最近 IRS と Ledger のユーザーも同様のフィッシング攻撃に遭遇しています。

Cyvers Alert の監視によると、アドレスポイズニング攻撃事件が発生し、被害者は約 10 万ドルの USDT を失いました。攻撃者は約 66 日前に被害者のウォレットに対してアドレスポイズニングを実施し、取引を送信することで正常なインタラクションアドレスに似た悪意のあるアドレス記録を作成しました。被害者は完全なウォレットアドレスを確認せず、誤って資金を攻撃者のアドレスに転送しました。事件発生後、攻撃者は潜在的な凍結リスクを回避するために、盗まれた USDT を ETH に交換し、現在ウォレットには約 52.8 枚の ETH が保有されています。Cyvers はユーザーに対し、オンチェーンでの送金を行う際には常にウォレットアドレスを完全に確認し、取引履歴のアドレス記録にのみ依存しないように注意するよう呼びかけています。また、安全機関は AI ベースのオンチェーンセキュリティツールを使用して異常な取引行動をリアルタイムで検出し、アドレスポイズニングやフィッシング攻撃などのリスクを低減することを推奨しています。アドレスポイズニング攻撃は近年、暗号資産分野で一般的な詐欺手法の一つとなっており、攻撃者は通常、ユーザーが過去の取引アドレスをコピーする習慣を利用し、類似のアドレスを偽造してユーザーを誤って資産を転送させるよう誘導します。

オンチェーン探偵のZachXBTは投稿し、アメリカの脅威行為者Tiffany Milanovichがハードウェアウォレットや中央集権取引所のカスタマーサポートを装って、少なくとも約500万ドルの暗号資産の盗難に関与していると述べています。その手口には、Bitcoin IRAのメールサポートを装い、ある攻撃では被害者のTrezorウォレットから約120万ドルのBTCとETHを転送し、別の事件ではCoinbaseアカウントから約50万ドルのBTCを盗むことが含まれています。Tiffanyは「カスタマーサポートの電話」として被害者に資金アクセス権を渡すように誘導し、その後、ソーシャルメディアやTelegramグループで盗んだ資金を自慢し、被害者を嘲笑する録音を行い、他の脅威行為者と協力してフィッシングパネルや即時交換サービスを利用してマネーロンダリングを行い、盗まれた資金の一部は現在もオンチェーンで休眠しています。コードネーム「Tiffany」の脅威行為者は、複数の暗号資産の盗難に関与しており、被害者の盗まれた資金を暗号カジノでギャンブルに使っています。プラットフォームShuffleはZachXBTが提出した証拠に基づいて関連アカウントを凍結しました。Tiffanyは以前、コネチカット州の捜索押収令状を共有しており、その文書の日付は今回の一部の事件よりも早いです。ZachXBTはチャット記録、録音、オンチェーンの証拠を把握しており、この人物がさらなる法的結果に直面する可能性があると予測しています。この脅威行為者は、John Daghita（Lick）事件とも関連があり、後者はアメリカ政府に押収されたウォレットから4600万ドル以上の暗号資産を盗んだ疑いがあります。

Bitcoin News は X プラットフォームで、Trezor ユーザーが Trezor を装った Google のスポンサー検索結果をクリックした後、生涯の貯蓄が盗まれたと報告したと述べています。このフィッシングページは Google Sites にホストされており、被害者にウォレットの復元シードを入力させるように仕向けているとされています。Trezor は、この報告の処理を進めており、当該サイトの削除を進めていると述べ、ユーザーに対して、どのサイトやオンラインフォームでもウォレットのバックアップやリカバリーフレーズを入力しないよう警告しています。Google のスポンサーによるフィッシング広告は、暗号ユーザーが直面する継続的な攻撃手段であり続けています。

GoPlusの監視によると、Baseチェーン上のあるユーザーがフィッシング攻撃により50万USDCを失いました。攻撃者は不正に得た資金をWETHに交換する際、スクリプトにスリッページ保護が設定されていなかったため、流動性がほとんどないUniswap V4のWETH/USDCプールにルーティングされ、50万USDCがわずか67.9ETH（価値12.9万ドル）にしか交換されませんでした。そのうち37万ドルがMEVボットに奪われました。このMEVボットはわずか0.03USDCを支払ってその取引を先取りしましたが、そのために3.5ETHのガス代を支払いました。その後、被害者は攻撃者とMEVアドレスにオンチェーンメッセージを送り、攻撃者の身元を特定したことを伝え、10%の報酬を支払って返金を要求する意向を示しました。

公式の発表によると、イーサリアム財団傘下の「万億ドルセキュリティプラン」（Trillion Dollar Security、1TS）は、自由報道財団（Freedom of the Press Foundation、FPF）に特別助成金を提供し、オープンソースツールWEBCATの継続的な開発を支援し、イーサリアムウォレットと分散型アプリケーション（DApp）の長期的なフロントエンドコード検証のセキュリティギャップを解決します。WEBCAT（Web-based Code Assurance and Transparency）は、ブラウザがウェブサイトが読み込むコードが開発者によって公開されたバージョンと一致しているかどうかを検証するのを助けるオープンソースツールです。今回の助成金は、WEBCATをイーサリアムウォレットとアプリケーションシナリオに拡張し、ユーザーがアクセスするフロントエンドページが改ざんされていないかを検証できるようにします。イーサリアム財団は、現在HTTPSはユーザーが接続するウェブサイトを検証し通信を暗号化できるものの、ウェブサイトが実際に実行しているフロントエンドコードが開発者が公開したバージョンであることを証明できないと述べています。攻撃者がウェブサイトのフロントエンドコードを制御する場合、ユーザーが知らないうちに取引受取先アドレスを変更したり、ページに表示されている内容と一致しない取引に署名させたりする可能性があります。イーサリアム財団は、フロントエンド攻撃がブロックチェーンインフラストラクチャの重要なセキュリティリスクとなっており、悪意のあるウェブページインターフェースの変更がサプライチェーン攻撃、DNSハイジャック後の攻撃、ユーザーインターフェースの欺瞞などの問題を引き起こす可能性があると述べています。WEBCATはもともと自由報道財団によって開発され、SecureDropなどの安全な通信システムのコードの信頼性を高めるために使用されていました。今回のイーサリアムエコシステムへの拡張は、1TSプランの「クリアサイニング（Clear Signing）」などのセキュリティ対策と相互補完的な関係を形成します。前者はウォレットがアプリのフロントエンドが改ざんされていないことを確認するのを助け、後者はユーザーが承認しようとしている取引内容を理解するのを助けます。

GoPlus Security は安全警告を発表し、あるユーザーが183日前に悪意のあるPermit取引に署名し、約1,625ドルのUSDCがフィッシング攻撃者に転送されたと述べています。その後、ユーザーが関連する権限を取り消さなかったため、攻撃者は再びその権限を利用して約75,780ドルのUSDCを移転しました。

Scam Sniffer の監視によると、あるユーザーがイーサリアム上でフィッシングトークンの承認を行った後、約 999,999 USDT を失いました。攻撃者は最初に 100 万ドル（ウォレット残高より 631 ドル多い）を引き出そうとしましたが失敗し、36 秒後に再計算して残りの全額を成功裏に引き出しました。Scam Sniffer はユーザーに対し、すべての署名リクエストを確認し、取引を急いで署名しないように警告しています。

オンチェーンセキュリティアナリストのSpecterが発表したところによると、Polymarketのユーザーを狙ったフィッシング攻撃が発生しており、現在の累積損失は約294万ドルに達しています。彼の監視によれば、攻撃者は11以上のPUSDを保有する被害者のウォレットから資金を移動させ、盗まれた資産をETHに交換しています。また、ユーザーにフィッシングリスクに注意するよう警告し、この事件は現在も追跡中であると述べています。

GoPlusの警告によると、あるユーザーが悪意のあるPermit2取引に署名したため、フィッシャーによって約31.6万ドルのUSDCが盗まれました。

ブロックチェーンセキュリティ会社CertiKの最新データによると、2026年5月に暗号業界はハッカー攻撃、脆弱性の悪用、詐欺によって約6830万ドルの損失を被り、4月の6.5億ドルを超える損失規模から約90%減少し、今年3回目の損失が1億ドル未満となる月となりました。CertiKは、5月の期間中に約260万ドルの損失がフィッシング攻撃から来ていると述べています。それに対して、4月はDrift ProtocolとKelpDAOのインフラが重大な攻撃を受け、それぞれ約2.85億ドルと2.92億ドルの損失を被り、2件の事件は当月の損失総額の約95%を占め、4月は2022年3月以来最も損失が大きかった月の一つとなりました。プロトコルレベルでの大規模攻撃は減少しているものの、CertiKはフィッシング攻撃、ソーシャルエンジニアリング詐欺、ディープフェイク（Deepfake）、および認証情報の漏洩などのリスクが依然として増加していると警告しています。研究者たちは、ますます多くの攻撃者が従業員、運用システム、認証プロセスをターゲットに攻撃を仕掛けるようになっていると指摘しています。CertiKは、5月の損失の減少は超大規模なセキュリティ事件が欠如していることを反映しており、業界のセキュリティ状況が根本的に改善されたことを意味するものではないと強調しています。クロスチェーンブリッジの脆弱性、プロトコルの欠陥、内部脅威、ソーシャルエンジニアリング攻撃は、暗号業界が直面している主要なリスクであると述べています。

オンチェーンアナリスト「b-block」は月曜日にソーシャルメディアプラットフォームで、Uniswapを模倣したウェブサイトが複数のウォレットから資金を盗んでいると投稿し、詐欺師が保有する資産の価値は40万ドルを超えていると述べました。Web3マーケティング機関Green Dotsの創設者Stacy Muurは、検索エンジンの偽スポンサー結果のスクリーンショットを共有し、Googleが長年この問題を無視していることを批判し、偽のリンクが本物のリンクの上に表示され続け、ユーザーが継続的に盗まれていると指摘しました。Etherscanのデータによると、2つのマークされたアドレスは合計約146枚のETHを保有しており、その価値は約30.6万ドルです。DeFiLlamaは、Google上の偽広告がフィッシング攻撃の一般的な出所であることを指摘しました。暗号非営利団体Security Alliance（SEAL）の4月の報告によると、3月のGoogle検索でのフィッシング活動が著しく増加し、攻撃者は合法的な広告アカウントを有料または盗用して、非常に欺瞞的な偽広告を掲載し、見た目が本物のURLでGoogleの自動チェックを回避し、隠されたiframeを通じて悪意のあるペイロードを読み込んでいます。SEALは356以上の悪意のある広告リンクをブロックしており、攻撃者が毎週展開するGoogle広告の量は1年以上にわたり安定していると述べ、攻撃活動は鈍化していないとしています。報告によると、3月13日から30日までの間に盗まれた資金の総額は127万ドルに達しました。さらに、今月初めにはGoogle広告とAIチャットボットClaudeを利用した共有チャットが登場し、Macユーザーを狙った悪意のある広告活動が行われました。Malwarebytesの報告でも、Facebookが偽広告や詐欺の重災区であることが指摘されています。

慢雾は安全警告を発表し、TRONウォレットユーザーを対象とした高リスクのフィッシング活動を発見したと述べています。攻撃者は偽のTronLinkウォレットのChrome拡張機能を作成し、Unicodeの双方向制御文字とキリル文字の同形異義語を利用してブランド名を偽装しました。インストール後、この拡張機能はリモートiframeを通じて完全なフィッシングページを読み込み、「シェル-コア分離」の認証情報窃盗チェーンを形成します。悪意のある拡張機能の名前は同形異義語で偽装されており、そのChromeストアページは本物の拡張機能の高いユーザー数と良い評価を引き継ぎ、審査のハードルを下げています。ローカルコードは非常に少なく、リモートページのみを読み込むため、静的分析では悪意のある行動をほとんど検出できません。リモートフィッシングページは公式のTronLinkウェブウォレットのインターフェースを完璧に再現し、ニーモニックフレーズ、秘密鍵、Keystoreファイル、パスワードを盗み、Telegram Botを通じてリアルタイムで返送します。内蔵の逆分析機能は右クリック、開発者ツール、ドラッグ＆ドロップ、印刷を無効にし、ロシア語ユーザーの地理的および言語設定に基づいてリダイレクトして検出を回避します。SlowMistは疑わしい拡張機能を直ちにアンインストールし、ローカルストレージをクリーンアップし、異常なトラフィックをチェックすることを推奨しています。既に入力した認証情報がある場合は、直ちに新しいウォレットを作成し、資産を移動するべきです。

CertiK Alert の監視によると、2026 年全月の暗号セキュリティ事件による累積損失は約 6.51 億ドルで、そのうち約 350 万ドルはフィッシング攻撃に起因しています。これは 2022 年以来の損失が最も高い単月の記録で、2025 年の Bybit の盗難事件に次ぐものです。

Cointelegraph の報道によると、Robinhood のユーザーは最近一連のフィッシング攻撃に遭遇しました。攻撃者は Gmail のユーザー名における "." の特性と、Robinhood のアカウント作成プロセスの脆弱性を利用して、ターゲットのメールアドレスに非常に似たアカウントを登録し、その結果、Robinhood の公式メールサーバーが被害者の受信箱にフィッシングリンクを含む偽の通知メールを送信することを可能にしました。サイバーセキュリティ研究者の Alex Eckelberry は、このメールは SPF、DKIM、DMARC によって検証可能で、公式のアドレスから送信されたように見えると述べています。Robinhood は、この件はシステムや顧客アカウントが侵害されたものではなく、ユーザーの資金や個人情報には影響がないとしていますが、関連メールを削除し、疑わしいリンクをクリックしないようユーザーに警告しています。

市場の情報によると、ブロックチェーンセキュリティ会社Hackenが発表した報告書によれば、Web3プロジェクトはこの四半期にハッカー攻撃と詐欺によって4.645億ドルの損失を被った。その中で、フィッシングとソーシャルエンジニアリング攻撃が3.06億ドルを占め、主要な損失の原因となっている。1月に発生したハードウェアウォレットの詐欺は2.82億ドルの損失をもたらし、四半期の総損失の81%を占めている。スマートコントラクトの脆弱性による損失は8620万ドル、アクセス制御の失敗（キーやクラウドサービスが攻撃されたことを含む）による損失は7190万ドルである。報告書は、最大のセキュリティ事件は主にチェーン外の操作とインフラ層で発生し、従来の監査ではカバーしきれないことを指摘している。欧州の規制フレームワークMiCAとDORAは、セキュリティ監視とインシデント対応の要件を強化しており、世界の規制機関もリアルタイム監視と緊急対応基準を向上させている。

ハッカーはGoogle Playストアを模倣したフィッシングページを通じて、ブラジルでAndroidマルウェア攻撃を開始しました。現在、すべての既知の被害者はブラジルにいます。攻撃者はGoogle Playに非常に似たフィッシングサイトを構築し、ユーザーに「INSS Reembolso」という偽のアプリをダウンロードさせるように誘導しました。このアプリがインストールされると、段階的に隠された悪意のあるコードが解放され、直接メモリにロードされて実行され、デバイス上に可視ファイルを残さず、非常に高い隠蔽性を持っています。マルウェアの主要な機能の一つは暗号通貨のマイニングであり、ARMデバイス用にコンパイルされたXMRigマイニングプログラムが内蔵されており、バックグラウンドで静かに攻撃者が制御するマイニングサーバーに接続します。このプログラムはバッテリー残量、温度、デバイスの使用状況を監視し、検出を回避するためにマイニングの動作を動的に調整し、静音の音声ファイルをループ再生することでAndroidシステムのバックグラウンドプロセス管理メカニズムを回避します。一部の亜種は銀行トロイの木馬も内蔵しており、BinanceやTrust WalletのUSDT送金画面に偽のページを重ねて静かに受取先アドレスを置き換えます。さらに、マルウェアは録音、スクリーンショット、キーボード記録、リモートロックなどの多くのリモートコントロール命令をサポートしています。

GoPlusの安全監視によると、ある0x9709で始まるアドレスが悪意のあるPermitおよびApprove取引に署名し、約20万ドルのUSDCとwmtUSDTがフィッシング攻撃者に盗まれました。GoPlusは、ユーザーがチェーン上の承認（Approve）やオフライン署名（Permit）リクエストに署名する際には、取引の詳細と契約アドレスを慎重に確認し、不明な出所の悪意のあるリクエストに署名しないようにし、資産の盗難を防ぐことを強く推奨しています。