毎月、MetaMaskのセキュリティディレクターであるLukerが、知っておくべき最新の暗号資産攻撃と新たなリスクについてレポートします。
2025年6月は、攻撃とスキャム摘発の両面でその規模が際立った月でした。Interpolは世界規模のinfostealer（情報窃取マルウェア）キャンペーンにおいて、2万件の悪意あるIPを解体し、32人を逮捕しました。米国司法省（DOJ）は、2億2,500万ドルという過去最大規模の「豚の屠殺（pig butchering）」詐欺の回収を発表しました。一方、Lazarus Groupも同様の勢いを見せ、Tronの低手数料インフラを通じて数十億ドル相当の盗まれた暗号資産をマネーロンダリングし、台湾の取引所BitoProを1,100万ドル規模でハッキングし、偽のITワーカーの身元を使って米国企業への侵入を続けました。身近なところでは、MetaMask SecurityのTaylor MonahanがEIP-7702の悪用はPectraの問題ではなく秘密鍵（Private Key）のセキュリティ問題であることを解説しました。また、親会社であるConsensysがWeb3Authを買収し、ウォレットのリカバリーを簡素化し、MetaMaskの業界トップクラスのセキュリティをさらに強化しました。詳細は以下をご覧ください。その前に…
注目のSTEMパイオニア：Nergis Mavalvalaと重力波の検出
Nergis Mavalvalaは、LIGOプロジェクトにおける重力波の検出と量子計測科学の実験研究に貢献しました。
ConsensysがWeb3Authを買収——MetaMaskのウォレットリカバリーと鍵管理を簡素化
これらのレポートでは悪意ある攻撃について多く取り上げていますが、ユーザーの35%がSecret Recovery Phrase（シークレットリカバリーフレーズ）を適切にバックアップできておらず、資金損失のリスクにさらされていることをご存知でしょうか？MetaMaskの共同創設者Dan Finlayが述べたように、「誰にも教えてはいけないが、失くしてもいけない」というのは、非常に難しい綱渡りです。
だからこそ、MetaMaskの親会社Consensysが、鍵管理と組み込みウォレットインフラの主要プロバイダーであるWeb3Authを買収したことを発表できることを嬉しく思います。Web3Authの機能を統合することで、MetaMaskユーザーはソーシャルログインやデバイスベース認証などの使い慣れたweb2認証方式を使ってウォレットの作成とリカバリーが可能になります。また、この買収により、開発者は組み込みウォレットSDKと鍵管理インフラへのアクセスが可能となり、ウォレット管理がより簡単かつ効率的になります。
LavaMoatのアップデート：WebpackプラグインがバージョンV1.0に到達、React Native lockdownの初回リリース
@lavamoat/webpackがバージョン1.0に到達
OtterSecによる監査、動的ロードチャンクへの対応、保守性向上のためのリファクタリングを経て、Webpackプラグインがバージョン1.0に到達し、安定版として利用可能になりました。次のステップとして、オプトイン形式のセキュリティ改善が計画されています。
@lavamoat/nodeの書き直しによる完全なESMサポートの追加
React NativeのHermesエンジンの制約の中でHardened JavaScriptのlockdown()を動作させることに成功しただけでなく、Metroの設定ファイルを通じて統合できるすっきりとしたパッケージとして開発者に提供する方法も見つけました。非常に初期のバージョンをリリースしており、テスト結果とフィードバックを募集しています。ぜひお試しいただき、ご意見をお聞かせください。
見逃した方のために、他にも進行中のプロジェクトをご紹介します：
@lavamoat/node
まだ開発中ではありますが、LavaMoat for Node.jsの完全な書き直しはすでに機能しています。完全なESMサポートと、npmパッケージからコマンドを実行するユーザー向けのDX（開発者体験）の改善が導入されています。lavamoat-nodeは引き続きサポートされ安定していますが、ESMサポートの欠如により、最終的には非推奨となる予定です。
新機能の開発に伴い、一部はlavamoat-nodeに統合されています。他の場所で書き込み可能とマークされているグローバル変数に対して、より精密なアクセス制御が可能になりました。ポリシーファイルの順序付けの改善がすべてのLavaMoatツールに適用され、policy.jsonファイルの生成が可能になりました。Git diffは実際の変更のみを示すよう最適化され、更新時に依存関係ツリーが再配置される際のリソースの並び替えを最小化します。
@lavamoat/git-safe-dependenciesがgitソースパッケージのセキュリティを検証
gitリポジトリから直接依存関係（またはGitHub Actions）をインストールする際のセキュリティ問題を防ぐための意見付きバリデーターとして機能する新しいツールをリリースしました。リリース後、PagedOut! Magazineの第6号に関連記事が掲載されました。
CryptonewsがMetaMaskを独立評価でトップクラスのセキュアウォレットに認定
Cryptonewsが最近MetaMaskウォレットの安全性を検証し、「3,000万人以上のアクティブユーザーと8年間の実績」を持つMetaMaskが「多くのセキュリティ機能と、セキュリティレベルの向上に取り組む積極的な開発チームを備えた非常に安全な選択肢」としての評判を確立したという評価をいただきました。この記事では、MetaMaskのセキュリティ機能を取り上げ、セルフカストディのベストプラクティスに関するヒントも紹介しています。Cryptonewsに感謝します！
Taylor MonahanによるEIP-7702の悪用について：問題はPectraではなく秘密鍵のセキュリティ
Ethereumの最近のPectraアップグレードでEIP-7702が導入され、ウォレットが一時的にスマートコントラクトのように機能できるようにすることでユーザー体験の向上を目指しています。しかし、この機能は悪意ある行為者に悪用されています。Wintermuteの分析によると、EIP-7702の委任の80%以上が「CrimeEnjoyor」と呼ばれる単一の悪意あるスクリプトに関連しており、このスクリプトは侵害された鍵を持つウォレットを自動的に空にするよう設計されています。注目すべき事例として、このスクリプトを利用したフィッシング攻撃により、あるユーザーが約15万ドルを失いました。
MetaMask SecurityのTaylor Monahanは、核心的な問題はEIP-7702自体ではなく、ユーザーが秘密鍵を保護するという根本的な課題にあると強調しました。EIP-7702は高度な機能を提供する一方で、攻撃者が侵害された鍵を悪用するためのより効率的な手段も提供していると指摘しています。この状況は、進化するEthereumエコシステムにおいて、堅牢な秘密鍵管理とユーザーの高い警戒心の重要性を改めて示しています。
北朝鮮の脅威アクターが米国企業に侵入、BitoProを1,100万ドルでハッキング、Tronを通じて数十億ドルをマネーロンダリング
6月に公開された3つの関連記事から、北朝鮮から発せられる高度持続的脅威（APT）が衰える気配を見せていないことがわかります。
米国司法省は、偽のITワーカーとして米国企業に侵入した北朝鮮のハッカーに関連する770万ドル相当の暗号資産の没収を求めています。これらの人物は偽の身元を使ってリモートワークの職を確保し、ステーブルコインで報酬を受け取り、様々な方法で資金をマネーロンダリングした後、北朝鮮政府に送金しました。専門家は、AIが生成したペルソナやディープフェイク技術を使用するこうした活動が、年間数億ドルを政権にもたらす可能性があると警告しています。
台湾の暗号資産取引所BitoProは、2025年5月8日のホットウォレットシステム更新中に1,100万ドルのハッキング被害を受けました。この攻撃は北朝鮮のLazarus Groupによるものとされており、マルウェアと盗まれたAWSトークンを使用してセキュリティを回避し、複数のブロックチェーンにわたって資金を流出させました。盗まれた暗号資産はその後、ミキサーと分散型取引所を通じてマネーロンダリングされました。BitoProはウォレットを復元し、内部関与がないことを確認しています。
北朝鮮のLazarus Groupは、分散型金融（DeFi）プラットフォーム、特にTronブロックチェーンの低手数料インフラを活用して、盗んだ数十億ドル相当の暗号資産をマネーロンダリングしています。オンチェーンアナリストのZachXBTによると、このグループはスワッププール、新規ウォレット、P2P取引手法を利用するブローカーの地下ネットワーク内で活動しており、推定50億〜100億ドルの不正資金の取引追跡を困難にしています。
批評家は、Tronのようなプラットフォームには実効性のある管理が欠如しており、このような大規模なマネーロンダリング活動を可能にしていると指摘しています。TRON DAOはTetherやTRM Labsなどの機関と協力して犯罪対策を支援すると主張していますが、多くの人々はこれらの対策が事後対応的で不十分だと主張しています。ZachXBTは、暗号資産業界全体が「犯罪のスーパーサイクル」を経験しており、大規模なハッキングが横行し、説明責任がほとんど果たされていないと強調しています。
Interpolが2万件の悪意あるIPを解体し、世界規模のinfostealer摘発で32人を逮捕
Interpolの「Operation Secure」は、infostealer（情報窃取）マルウェアに関連する2万件以上の悪意あるIPアドレスとドメインの解体に成功しました。26カ国の法執行機関とGroup-IB、Kaspersky、Trend Microなどの民間セクターパートナーが参加したこの協調作戦により、41台のサーバーが押収され、サイバー犯罪活動に関与した32人が逮捕されました。Infostealerは、感染したデバイスからパスワード、クレジットカード情報、暗号資産ウォレット情報などの機密データを抽出するよう設計された悪意あるソフトウェアです。この作戦では、21万6,000人以上の被害者および潜在的被害者への通知も行われ、即座の防御措置を取ることが可能になりました。
米国が過去最大規模の「豚の屠殺」詐欺で2億2,500万ドルを回収
米国司法省は、「pig butchering（豚の屠殺）」として知られる暗号資産投資詐欺に関連する資金の過去最大規模の回収を発表しました。この詐欺では、被害者が時間をかけて操作され、最大限の金額を騙し取られます。政府は現在、400人以上の被害者にできる限り多くの押収資金を返還するための取り組みを進めています。
CoinMarketCapのサプライチェーン攻撃——注入されたウォレット流出コードにより4万3,000ドルが流出
何が起きたか
暗号資産価格追跡サイトのCoinMarketCapがサプライチェーン攻撃の被害を受け、訪問者がウォレット流出キャンペーンにさらされました。ハッカーはサイトのホームページの落書き画像の脆弱性を悪用して悪意あるJavaScriptを注入し、偽のWeb3ウォレット接続ポップアップを表示させました。ウォレットを接続した無防備なユーザーの暗号資産が流出し、110人の被害者から4万3,000ドル以上が盗まれました。この攻撃は、プラットフォームの信頼された要素を悪用して暗号資産ユーザーを標的にするウォレットドレイナーの脅威の増大を浮き彫りにしています。悪意あるコードは迅速に削除されましたが、CMCは調査が現在も進行中であると述べています。
ユーザーが自分を守る方法
ウォレット流出攻撃から身を守るために、ウォレットを接続する前に必ずWeb3ポップアップの正当性を確認してください。不審なリンクをクリックしたり、見慣れないサイトのポップアップと対話したりすることを避け、重要な暗号資産の保有にはハードウェアウォレットの使用を検討してください。幸いなことに、このインシデントの総損失は、セキュリティ専門家による迅速な対応と、多くの潜在的被害者が資金を失う前に警告を発したトランザクションシミュレーターによって部分的に軽減されました。
CoinTelegraphが偽のエアドロップポップアップで侵害——存在しないCTGトークンを宣伝
何が起きたか
CoinTelegraphのウェブサイトがフロントエンドの脆弱性を通じて侵害され、存在しないCTGトークンを宣伝する偽のエアドロップポップアップが表示されました。このポップアップは、ウォレットを接続することで5,500ドルを受け取れると虚偽の主張をし、信頼性を装うために偽のCertiK監査を引用していました。
このブロックチェーンニュースメディアは迅速にユーザーにこれらのポップアップとの対話を控えるよう警告し、不正なコードを削除しました。同メディアはその後、「今後同様の事態を防ぐためにセキュリティ管理を強化した」と発表しました。
ユーザーが自分を守る方法
ユーザーは、特にウォレットの接続と引き換えに大きな金銭的報酬を約束するような予期しないポップアップやオファーには注意が必要です。このようなプロンプトと対話する前に、公式ソースを通じて情報の正当性を確認してください。追加の予防措置として、組織の認証済みソーシャルメディア、ウェブサイト、その他の信頼できるマーケティング活動からのメッセージを比較することをお勧めします。
Trezorのサポートフォームが悪用され、ウォレットバックアップを狙うフィッシングメールが送信される
何が起きたか
ハードウェアウォレットメーカーのTrezorは、攻撃者がオンラインサポートの問い合わせフォームを悪用して、正規のサポート返信を装ったフィッシングメールを送信したとして、セキュリティアラートを発行しました。これらの詐欺メールは、常にプライベートかつオフラインで保管すべきウォレットバックアップをユーザーに共有させることを目的としていました。Trezorはシステムやユーザーデータの侵害は発生していないことを確認し、フィッシングキャンペーンは封じ込められたと述べています。同社は警戒の重要性を強調し、将来の悪用を防ぐための調査を開始しました。
ユーザーが自分を守る方法
フィッシング詐欺を避けるために、たとえリクエストが正当に見えても、ウォレットバックアップや秘密鍵を決して共有しないでください。常にコミュニケーションの真正性を確認してください。迷惑メール、特に機密情報を求めるメールには注意し、不明な送信元からのリンクをクリックしたり添付ファイルをダウンロードしたりすることを避けてください。
SparkKittyとCrocodilus：暗号資産のシードフレーズと銀行認証情報を盗むモバイルマルウェア
何が起きたか
SparkKittyは、公式アプリストアで見つかった悪意あるアプリや、偽のTikTokクローンやギャンブルプラットフォームなどのサイドロードアプリを通じて、iOSとAndroidの両デバイスに侵入します。インストールされると、SparkKittyはデバイスのフォトギャラリーへのアクセスを要求し、光学文字認識（OCR）を使用して画像から機密情報、特に暗号資産ウォレットのシードフレーズをスキャンします。そのようなデータを発見すると、情報を攻撃者に送信し、ユーザーのデジタル資産を危険にさらします。
Crocodilusは新たに特定されたAndroidバンキングトロイの木馬で、世界中のユーザーに重大な脅威をもたらします。このマルウェアはGoogle Chromeなどの正規アプリケーションを装ってユーザーを欺きます。インストールされると、アクセシビリティ権限を要求し、画面コンテンツのキャプチャ、キーストロークの記録、偽のログイン画面のオーバーレイ表示による認証情報の収集などの操作を実行できるようになります。特に銀行や暗号資産アプリケーションを標的とし、機密情報の抽出とユーザーのアカウント流出を目的としています。
ユーザーが自分を守る方法
信頼できるソースからのみアプリをダウンロードし、写真、画面コンテンツ、またはアクセシビリティ機能へのアクセスを要求するアプリには注意してください。シークレットリカバリーフレーズなどの機密情報をフォトギャラリーに保存することを避け、代わりにハードウェアウォレットや暗号化されたパスワードマネージャーなどの安全な保存方法を使用してください。脆弱性にパッチを当てるためにデバイスとアプリを最新の状態に保ち、マルウェアを検出してブロックするための信頼できるモバイルセキュリティソフトウェアの使用を検討してください。新たな脅威について常に情報を収集し、適切なデジタルハイジーンを実践することが、暗号資産と個人データを安全に保つ上で大きな効果をもたらします。
MetaMaskの2025年6月暗号資産セキュリティレポートでは、北朝鮮の工作員によるTronを通じた数十億ドルのマネーロンダリング、Interpolによるinfostealer関連の2万件の悪意あるIPの摘発、iOSとAndroidの暗号資産シードフレーズを標的にしたモバイルマルウェアについて取り上げました。エコシステム全体での安全を保つための脅威、トレンド、ヒントについては、MetaMask暗号資産セキュリティレポートのバックナンバーをご覧ください。
