仮想通貨ハッカー　スマートコントラクトから「人間の心理」へ標的をシフト　ソーシャルエンジニアリング型攻撃が増加

仮想通貨業界では、ハッカーがスマートコントラクトの脆弱性を突く従来の手法から、ユーザーをだますソーシャルエンジニアリング型の詐欺へと戦略を転換しつつある。Web3のサイバーセキュリティ企業サーティックが指摘する。

サーティックによると、2025年に入ってからこれまでに発生した仮想通貨関連の攻撃による被害総額は21億ドルを超えており、大半はウォレットの乗っ取りやフィッシング詐欺によるものだという。

仮想通貨におけるフィッシング攻撃とは、攻撃者が偽のリンクを共有し、被害者のウォレットの秘密鍵などの機密情報を盗み取るソーシャルエンジニアリング型の手法を指す。

サーティックの共同創業者ロンフイ・グー氏は、ソーシャルエンジニアリング攻撃の増加が、攻撃ベクトルの変化を示していると語った。

同氏は、6月2日に開催されたXスペースの番組「Chain Reaction」に出演し、「この21億ドルの被害の大半は、ウォレットの乗っ取り、鍵の管理ミス、運用上の問題によるものだった」と話した。

サーティックによると、2024年にはフィッシング詐欺だけで業界に10億ドル超の損害が発生しており、296件のインシデントのうち最もコストを要する攻撃手法となった。

最近では、4月30日に3億3000万ドル相当のビットコイン（BTC）が高齢の米国在住者のウォレットから盗まれた事件が発生しているが、この事件もソーシャルエンジニアリングによる詐欺だった。

こうした手口の一例である「アドレスポイズニング」は、技術的なハッキングを必要とせず、被害者をだまして偽のウォレットアドレスへ資産を送らせる。

「ハッカーは常に最も脆弱な部分を狙う」

ソーシャルエンジニアリング型詐欺の台頭は警戒すべき兆候ではあるものの、同時に分散型金融（DeFi）プロトコルが以前より堅牢になった証拠とも考えられる。

グー氏は「攻撃者は常に最も弱いポイントを狙う」と述べたうえで、次のように続けた。

「以前はスマートコントラクトやブロックチェーンのコードそのものが弱点だったが、今では人間の行動が最も弱いポイントだと見なされている」

グー氏は、今後の被害を抑えるためには、より優れたウォレットセキュリティ、アクセス制御、リアルタイムでの取引監視、シミュレーションツールなどへの投資が必要だと提言した。

2025年の被害総額のうち最大の要因は、2月21日に発生した仮想通貨取引所バイビットのハッキング事件である。北朝鮮のハッカー集団「ラザルス」によって引き起こされたこの事件では、14億ドル相当が盗まれ、仮想通貨史上最大級の不正流出被害となった。