報告損失3億ドル超と関連するCoinbase詐欺の脅威アクター、ETHをTornado Cashへ送金
重要ポイント
- •オンチェーン調査者のVALは、脅威アクターが約50万ドルをETHに換えてTornado Cashへ送金したと報告した。3週間前にも約200万ドルが同じミキサー経由で移動していた。
- •ZachXBTは以前、同一のキャンペーンに関連する複数のCoinbaseアカウントからの窃盗に結びつく、3億ドルを超える累計損失を報告していた。
- •窃盗はソーシャルエンジニアリングによって実行された。詐欺師がCoinbaseのカスタマーサポートを装って認証情報を入手したり、被害者に資産を送金させたりしたものであり、スマートコントラクトやブロックチェーンの脆弱性を悪用したものではない。
- •VALは、直近の取引に関与した短縮アドレス「0x5Da2…89D8a」と「0x3ECe…f296」の2つのウォレットを特定した。攻撃者のウォレットには数千万ドルが残っていると報じられている。
- •脅威アクターは以前、嘲笑するメッセージを添えた取引をZachXBTのウォレットへ送っていた。一方Coinbaseは、自社の担当者が顧客にパスワード、二要素認証コード、資産の送金を決して求めないと警告している。
Coinbaseユーザーから報告されている3億ドル超の窃盗に関連する脅威アクターが、再び資金を移動させた。オンチェーン調査者のVALによると、今回の取引では約50万ドルがETHに換えられ、Tornado Cashへ送金されたという。
調査者らは、一連の損失の原因を、個人の口座保有者に対するソーシャルエンジニアリングによるものとしている。この一連の犯行をスマートコントラクトの悪用とは述べていない。
‼️Threat actor who stole $300M+ from Coinbase users is moving funds again Around $500k was converted to ETH yesterday and sent to Tornado Cash Another $2M was converted to $ETH 3 weeks ago and sent the same way All of it was stolen through social engineering scams from… pic.twitter.com/jC8dz97iL4 — VAL (@osint_based) August 17, 2026
‼️Threat actor who stole $300M+ from Coinbase users is moving funds again Around $500k was converted to ETH yesterday and sent to Tornado Cash Another $2M was converted to $ETH 3 weeks ago and sent the same way All of it was stolen through social engineering scams from… pic.twitter.com/jC8dz97iL4
詐欺師がCoinbaseユーザーを狙った手口
詐欺師らはCoinbaseのカスタマーサポート担当者を装い、ユーザーに接触して欺きによって資産の管理を奪おうとした。
一部のケースでは、被害者がなりすまし者に口座の認証情報を明かした。別のケースでは、被害者が偽の指示に基づいて暗号資産を送金したり、悪意のある取引を承認したりした。
いずれのケースでも、これらの手口は口座保有者を狙ったものであり、ブロックチェーン自体の脆弱性を突いたものではない。こうしたなりすまし詐欺は業界で長年続く問題であり、FBIや連邦取引委員会（FTC）をはじめとする米国の機関は、カスタマーサポートやサービス担当者を装う詐欺師が、報告件数の最も多い暗号資産詐欺の手口の一つであると繰り返し警告している。
以前、オンチェーン調査者のZachXBTは、累計で3億ドルを超える損失を報告していた。これらの損失は、この一件に関与した複数のCoinbaseアカウントからの窃盗と結びついている。
脅威アクターのウォレットには、依然として数千万ドルが保有されていると報じられている。VALのレポートには、関連するすべてのウォレットの合計残高は含まれていなかった。
最新の送金も同じ経路をたどる
VALの報告によると、今回の一連の動きは約50万ドルをETHに換えることから始まり、その後Tornado Cashへ送金された。
3週間前には、約200万ドルが同じ経路で移動していた。この金額もTornado Cashへ移される前にETHへ換えられていた。これらの取引は、操作者が一括送金ではなく複数回の送金を利用したことを示している。
Tornado Cashでは入金と出金がスマートコントラクトによって分離されており、Ethereumブロックチェーン上での資金追跡がより困難になっている。このプロトコルは過去のブロックチェーン取引を削除しないため、資金はTornado Cashの入金コントラクトに到達するまでは追跡可能である。
このミキサー自体、その機能をめぐる法的紛争の中心に置かれてきた。米財務省外国資産管理局（OFAC）は2022年8月、北朝鮮のLazarus Groupによる盗難暗号資産の資金洗浄への利用を理由にTornado Cashへ制裁を科した。その後、米控訴裁判所が同プロトコルの改変不能なスマートコントラクトは制裁対象となり得る「財産」ではないと判断し、2025年3月に制裁は解除された。
今回のレポートでVALは、取引に関与した2つのウォレットを指摘した。これらのウォレットの短縮アドレスは「0x5Da2…89D8a」と「0x3ECe…f296」だった。
Coinbaseがユーザーに警告する中、攻撃者がZachXBTを嘲笑
この脅威アクターは、以前からZachXBTのウォレットへ取引を送り付けていたことが知られていた。これらの取引には、調査者が追跡を行っていた時期に調査者を嘲笑するカスタムメッセージが添えられていたと報じられている。
これらのメッセージは、ZachXBTとVALの調査活動を嘲笑するものだった。攻撃者の身元や残りの資金の所在については明らかにされていない。
ZachXBTは損失の総額を追跡し、VALは直近の2件の取引を報告した。両調査者は、この活動を同一の報告済みキャンペーンに関連付けている。過去の同規模の事例では、ミキシングされた資金が取引所やその他の規制対象サービスに再び出現する時点が決定的な転機となることが多く、調査者がウォレットデータをコンプライアンス部門と共有したことで、身元確認を通じて盗難資産が凍結されたケースもある。
Coinbaseの担当者は、顧客に対してパスワードや二要素認証コードを尋ねたり、資産の送金を求めたりすることはない。
