EthereumユーザーがTornado Cashのフィッシング攻撃で1,010 ETHを失ったと報告
重要ポイント
- •Ethereumユーザーが期限切れとされるTornado Cashインターフェースを使った後に1,010 ETHを失ったと報じられているが、独立確認はまだ取れていない。
- •損失はTornado Cashの基盤プロトコルの侵害ではなく、被害者が署名した悪意あるトランザクション承認によるものとされている。
- •Tornado Cashは2022年8月に米財務省の制裁対象となり、2024年11月に第5巡回区控訴裁判所が制裁の行き過ぎを認定、2025年3月に制裁が解除され、その後公式サイトが復帰した。
- •Coinspectは、期限切れのゾンビdAppドメインが再登録や偽装により、戻ってきた利用者の承認を収集できると指摘している。
- •対策としては、正確なURLの確認、署名前のトランザクション内容の確認、Revoke.cashやEtherscanの承認チェッカーなどで古いトークン承認を取り消すことが挙げられる。
Ethereumユーザーが、プライバシーツールのフロントエンドの期限切れ版と説明されたものに接触した後、Tornado Cashのフィッシング攻撃で1,010 ETHを失ったと報じられている。これは初期報道に基づくもので、独立確認はまだ取れていない。
報じられている1,010 ETH喪失について分かっていること
この件は暗号資産記者のWuBlockchain on Xが取り上げ、ユーザーがフィッシング攻撃で資金を失ったと報じた。現段階では独立した確認はされていない。
別のScryptopolitanの投稿でも、被害者が期限切れのTornado Cashインターフェースを訪れた後に同じ損失が発生したと説明された。関連アドレスは、オンチェーンの文脈を確認するためにEtherscanで閲覧できる。
- 報告された損失: フィッシング攻撃に起因するとされる1,010 ETH。
- 特定された手口: 期限切れとされるTornado Cashブランドのインターフェース。
- 状況: 報道段階であり、独立確認は未了。
Tornado Cashのフィッシング誘導がどのように利用者を罠にかけるか
暗号資産におけるフィッシングは、通常、プロトコルではなく利用者を標的にする。スマートコントラクトを破るのではなく、攻撃者は被害者をだまして悪意あるトランザクションやトークン承認に署名させ、ウォレットを流出させる。言い換えると、この攻撃では被害者自身の署名が必要であり、攻撃者がそれ以外の方法で得られたはずのない承認だった。
この違いは重要だ。報道は今回の事案をプロトコルの侵害ではなくフィッシングとして位置づけており、リスクはTornado Cashの基盤コードではなく、プロジェクト自身のサイト上のウォレット操作層にあったことを意味する。Tornado Cash自体は、送信者と受信者のオンチェーン上の結び付きを断つためにゼロ知識証明を使うミキサーであり、米当局が北朝鮮のLazarus Groupに関連する資金を含む数十億ドル規模の資金洗浄にも使われたと主張する前は、Ethereumで最も使われたプライバシーツールの一つだった。
この法的経緯は、停止したフロントエンドがどのように罠になるかに関係する。米財務省は2022年8月にTornado Cashを制裁し、公式インターフェースは長期間オフラインとなった。その間、ミラーサイトやアーカイブ版が出回った。2024年11月の第5巡回区控訴裁判所の判決は制裁が行き過ぎだったとし、制裁は2025年3月に解除され、その後公式サイトは復帰した。単一の、常時稼働する正規インターフェースがない期間は、古いブックマークや記憶に頼ったドメインが、古い版や見た目が似たコピーへ利用者を誘導する典型的な環境だ。
使われなくなった、あるいは期限切れのアプリケーションドメインは既知の危険だ。セキュリティ企業Coinspectは、期限切れのインフラを持つ「ゾンビ」dAppsが再登録されたり偽装されたりして、かつて信頼されていたアドレスが、戻ってきた利用者の承認を吸い上げる罠に変わることを示している。古いブックマークや記憶に残るドメインに頼る利用者は、本物らしく見えるページに迎えられながら承認だけを収集される可能性がある。
Ethereumウォレットのセキュリティにとっての意味
4桁台のETH損失は、自己管理に慣れた利用者であっても、フロントエンドの検証が依然として弱点であることを示している。見慣れたブランド名があっても、ブラウザに表示されたページが正規のものである保証にはならない。これはニッチな脅威でもなく、悪意ある承認はレンタルされた「wallet drainer」キットを通じて配布され、オンチェーンセキュリティ企業は、1年で欺瞞的な署名により被害者から数億ドルが奪われたことを測定している。
実践的な防御は、署名前の精査に尽きる。正確なURLを確認し、各トランザクションの内容を無条件に承認せずに読むこと、そして古いアプリに与えたトークン権限を定期的に確認・取り消しすることが重要だ。Revoke.cashやEtherscanのトークン承認チェッカーのような無料ツールは、そのために作られている。
同じ注意は、ユーザーが消費者向けの決済経路を通じてウォレットに資金を入れるオンボーディングや支払いの流れ、さらにロシアがEthereumやその他資産の公的取引を認める方向に進むような、個人向けアクセスを制度化する法域にも及ぶ。採用が広がるほど、フィッシング実行者が狙う対象の母数も増える。
報道が裏付けられるまでは、最も安全な見方は警戒的なものだ。特に期限切れの可能性があるプライバシーツールのインターフェースは、ドメインとコントラクト操作を直接確認するまで未検証として扱うべきである。
免責事項: この記事は情報提供のみを目的としており、金融または投資の助言を構成するものではありません。暗号資産およびデジタル資産市場には高いリスクが伴います。意思決定の前には必ずご自身で調査してください。
