マイクロソフトの脅威インテリジェンスチームは2026年8月6日、侵害されたウェブサイト群が「EtherHiding」と呼ばれる手法を使い、防御側に停止されうるサーバーではなくBNBスマートチェーン上のスマートコントラクトから攻撃指令を取得していることを確認したと発表した。この手法はClearFakeキャンペーンと関連付けられており、マイクロソフトによれば、攻撃者は改ざんしたウェブサイトにBase64エンコードされたJavaScriptを注入し、それがBNBスマートチェーンのRPCゲートウェイに問い合わせて次の指令セットを取得する仕組みだという。
この手法が高い耐久性を持つのは、ブロックチェーンの仕組みそのものに起因する。コントラクトの内容を変更できるのは、それを最初にデプロイしたウォレットだけであるため、従来のコマンド&コントロールサーバーに対して有効な通常のテイクダウンやシンクホール化といった対策は、オンチェーンに恒久的に存在するスマートコントラクトには通用しない。
入口は偽のCAPTCHA
被害者はまず、偽のCAPTCHA認証ページに誘導される。そこでは「人間であることを証明する」ためとして、Windowsのツールにコマンドを貼り付けるよう指示される。実際には認証が行われることはなく、貼り付けられたコマンドは裏でマルウェアを起動する。これは「ClickFix」として知られるソーシャルエンジニアリングの手口で、被害者自身に悪意あるコードを実行させることで、不正なダウンロードを監視する多くのエンドポイント防御をすり抜けられるため、近年急速に広がっている。
関連記事: 元SEC高官、量子コンピューターは暗号資産業界の「時限爆弾」と警告
感染が成功した場合に起きること
マイクロソフトによれば、感染に成功すると認証情報の窃取、被害者端末への持続的なアクセス、ネットワーク内での水平展開、そして最終的にはランサムウェアの展開にまで至りうるという。偽のCAPTCHAを一度クリックしただけで、組織全体の侵害にまで発展しうる一連の連鎖だ。同社は組織に対し、不要なコマンドラインツールの利用制限、PowerShellのログ記録の有効化、そして不正なスクリプトの実行を阻止するアプリケーション制御の導入を推奨している。
ブロックチェーンの耐久性は諸刃の剣
EtherHidingは、パブリックブロックチェーンを正当な金融用途にとって魅力的にしている性質——永続性、検閲耐性、単一障害点の不在——が、攻撃者がひとたび悪用の糸口を見つければ、悪意あるインフラにとっても格好の恒久的なホスティング基盤になり得ることを改めて示している。BNBスマートチェーン自体が侵害されているわけではなく、あくまで耐久性の高い伝言板として利用されているに過ぎないため、BNBチェーン側がキャンペーンを止めるためのパッチを配布するという解決策は存在しない。対策は、ブラウザベンダーやエンドポイントセキュリティ製品、そして侵害されたサイトの運営者が入口を塞ぐことに委ねられている。
