USENIX Security '26で発表された研究により、イーサリアムとBNBスマートチェーンにまたがる不正利用に関連する高リスクアドレス65,340件が特定された。ネイティブトークン建てでの被害額は合計12万6,982.94ETHおよび1万7,726.7BNBに上り、合わせて5億7,480万ドルを超える規模となる。
この研究で最も印象的なのは、これらアドレスの出どころだ。研究者らは6万3,004件のGitHubリポジトリを精査し、誤って公開コードにコミットされていた重複排除後で1,630万件を超える秘密鍵を抽出した。そこから対応するウォレットアドレスを導き出し、トランザクションパターンのルールと軽量なシンボリック実行を組み合わせて突き合わせることで、実際にオンチェーン上で悪用されたものを特定した。
流出した鍵は全体像の一部にすぎない
注目すべきは、研究者が詳細に記録した二つの具体的な攻撃手法による被害額が、合計でおよそ1,570万ドル、調査全体の損失推計のわずか2.7%程度にとどまっている点だ。つまり5億7,480万ドルの大部分は、論文が特に取り上げているこの二つの手法ではなく、まだ十分に解明されていない他の形態のアドレス悪用に由来しているということになる。一つ目の手法はコントラクトアカウントおよび決定論的コントラクトアドレスの悪用、二つ目はイーサリアムのアカウント抽象化アップグレードであるEIP-7702を悪用し、侵害されたアカウントを資金を送金できる悪意あるコードへとリダイレクトする手口だ。詳しい手法と結果は研究者らの査読前論文にまとめられている。
EIP-7702の悪用が示すもの
EIP-7702は、通常のウォレットを一時的にスマートコントラクトのように振る舞わせる仕組みで、バッチ処理されたトランザクションやガス代のスポンサー支払いといった正当な機能を可能にする。今回の研究は、秘密鍵がすでに侵害されている場合、この同じ仕組みが新たなリスクを生むことを示している。攻撃者はウォレットを一度だけ空にするのではなく、丸ごと攻撃者が管理するロジックへとリダイレクトできてしまうため、たった一つの流出した鍵が、際限なく悪用され続ける入り口になりかねない。
関連記事: Hyperliquidを装う偽Google広告、被害額は約55万ドルに
古いミスが積み重なることを改めて示す事例
公開GitHubリポジトリだけから1,630万件を超える鍵が抽出されたという圧倒的な数の多さは、暗号資産の損失の大半が、目新しいゼロデイ攻撃ではなく、昔からある避けられたはずのミスに起因していることを裏付けている。今回の研究が付け加えているのは、こうした古い流出が静的なまま放置されるわけではないという警告だ。イーサリアムがEIP-7702のような新しいアカウント抽象化の標準を取り入れるにつれ、これまで休眠状態だった侵害済みの鍵が、流出から何年も経ってから新たな形で武器化されうる。
