ブルックリン最高裁で4年から12年の刑に

ブルックリンの裁判所は、約100人のCoinbaseユーザーから約1600万ドルを窃取した罪で、23歳のロナルド・スペクター被告に4年から12年の不定期禁錮刑を言い渡した。判決は9月23日、地方検事局の公開声明で発表された。それによれば、スペクター被告が9月2日に起訴事実31件すべて——第一次の資金洗浄罪、第一次の重窃盗罪、窃盗品の第一次所持罪などを含む——に対して有罪を認めた後、ブルックリン最高裁判事のダニー・チュン判事が刑を科したという。

検察側はさらに重い7年から21年の刑を求刑していた。弁護側はこれまで、本件が不完全な情報に基づいていると主張していたが、有罪答弁によりその論は終わりを迎えた。スペクター被告は2025年12月に逮捕され、当初は無罪を主張していた。

本件は、地方検事局の仮想通貨部門による1年にわたる捜査の集大成であり、損失総額は約1594万4000ドル、70人以上の被害者から事情聴取が行われた。エリック・ゴンザレス地方検事はこの犯罪を「約100人の被害者が出たデジタル強盗」と表現した。

重要なのは、Coinbaseのインフラは決して侵害されていなかったわけではないという点だ。本件はコードの脆弱性突きではなくソーシャルエンジニアリングによるもので、スマートコントラクトの流出もMEV（最大抽出価値）の操作もなく、資金を動かすのに十分なほど「公式らしく聞こえる」電話の声だけが犯行手段だった。

成りすまし手口の内幕

検察によると、スペクター被告はCoinbaseの社員を装って被害者に連絡し、ハッカーがアカウントを侵害した——あるいは侵害しようとしている——と警告していた。この圧力は奏功し、ユーザーは自分だけが管理していると信じる「安全なウォレット」へ資産を移すよう指示された。実際には、スペクター被告は着金した瞬間にすべての送金へアクセスでき、場合によっては被害者がシードフレーズをそのまま引き渡し、その後、保有資産は引き出されて彼に紐付くウォレットへ送金された。

起訴状の事例は、その信頼がいかにして作り上げられたかを示している。ペンシルベニア州のある被害者は約5万3150ドルを失った。CoinbaseとGoogleから届いたように見せかけた二要素認証メッセージの直後、Coinbaseセキュリティの「フレッド・ウィルソン」を名乗る男から電話がかかってきたという。カリフォルニア州のユーザーは100万ドル超、バージニア州の住人は90万ドル超、メリーランド州の被害者は約3万8750ドルを、「ジェームズ・ウィルソン」という自称社員からのメールにより失った。

この種の成りすまし手口は、公式サポートページを模した類似ブランディングや偽のブロックチェーンドメインに依拠するのが一般的で、そのパターンは一取引所のユーザーベースをはるかに超えて広がっている——同様の犯罪組織はBitcoinからAlgorand（ALGO）に至るまで、さまざまな暗号資産保有者を標的にしてきた。

オンチェーンで資金を追跡

資金の流れはオンチェーンフォレンジクスによって突き止められた。地方検事局によれば、捜査官は取引記録、ブロックチェーン分析、デジタルフォレンジクス、複数の捜索令状による証拠を組み合わせ、窃取された資金を受け取った複数のウォレットとスペクター被告の自宅IPアドレスを結び付けた。

12月の起訴状によれば、スペクター被告はオンライン上では@lolimfeelingevilとして活動し、「Blockchain enemies」という名のTelegramチャンネルを運営し、Discordで窃盗の成功事例を語り、他のソーシャルエンジニアを勧誘していた。回収されたメッセージからは、彼が約600万ドル相当の暗号資産をギャンブルで失っていたことが示唆され、電話の証拠からは、詐欺の疑惑が浮上した後にハードウェアウォレットを破棄し、代替品を入手していたことが判明した。

窃取された資産は迅速に移動した。繰り返し他の暗号資産に交換され、現金に換えられ、そして使われた——その大部分はギャンブルサービスやオンラインストアに流れた。当局は当初の捜査で約10万5000ドルの現金と40万ドルの暗号資産を押収し、Coinbaseは被害顧客の特定、証拠収集、資金追跡に協力した。

9月23日の命令では、これに加えて50万ドル超の価値がある現金・暗号資産・不動産の没収、そして損失ほぼ全額に及ぶ賠償が命じられた。ソーシャルエンジニアリングの被害者にとっては、ニッチなDeFi保険が一部のプロトコル障害を補償するような保護は存在しないため、このような回収結果は依然として稀である。

Coinbaseが繰り返し発する警告

エクスプロイトも、ブリッジへのハッキングも、プラットフォームの不具合もない——ただ作り出された焦りと、適切な用語を知っている電話の相手があっただけだ。Coinbaseの公式セキュリティガイダンスは、サポート担当者が新しいウォレットへの資金移動、シードフレーズの開示、二要素認証コードの共有をユーザーに求めることは決してなく、そのような要求を受けた場合は直ちに連絡を切るよう呼び掛けている。

本件ではフォレンジクスが成果を上げた——自宅のIPアドレス、ウォレットのクラスタリング、捜索令状——だが、最も低コストの防御線は通話のユーザー側にある。