あるユーザーが、古いブックマークからアクセスしたリンク経由で1,010ETHを失った。リンクの飛び先は、プライバシープロトコルTornado Cashの公式ドメインを装ったフィッシングサイトで、しかもそのドメイン自体が、かつて本物のTornado Cashが使っていたものだった。コミュニティの報告によれば、被害者は正規のTornado Cashフロントエンドにアクセスしているつもりだったが、実際にはそのドメインはすでに失効しており、攻撃者に再取得されていたという。
手口自体はシンプルながら、被害は甚大だった。偽のフロントエンドが被害者の預け入れ用の認証情報を取得し、攻撃者はそれを使って資金を引き出したうえで、複数のアドレスを転々とさせて追跡を困難にした。直近のオンチェーン追跡の時点で、盗まれた資産は依然として攻撃者の管理下にある。
根本的な原因は、Tornado Cashの法的な経緯にさかのぼる。2022年に米財務省OFACがこのプロトコルのスマートコントラクトを制裁対象に指定して以降、明確な運営主体を持たないプロトコルにとって、ドメインの更新のような単純な作業すら、法的・実務的に厄介なものになっていた。基盤となるスマートコントラクト自体は、IPFSやENSのゲートウェイといった分散型のアクセスポイントを通じて今も機能し続けているが、多くのユーザーはいまだに何年も前の古い主要ドメインをブックマークしたままだ。今回の被害者もまさにそこにつけ込まれた形になる。盗まれた資金の動きはEtherscan上でオンチェーン追跡が可能となっている。
フィッシング被害額、急反発の一部
今回の一件は、フィッシング被害の潮目が急激に変わりつつあるタイミングで起きた。ウォレットドレイナーによる被害額は2025年通年で約8,385万ドルまで減少し、前年比で83%もの落ち込みを見せていた。ところが2026年1月だけで、フィッシング被害は3億ドルを超えた。その大半を占めたのが、ハードウェアウォレットのリカバリーフレーズを明かすよう仕向けられた投資家から発生した、単一で2億8,400万ドルという巨額の窃取事件だ。セキュリティ研究者はこの潮流の変化を「ホエールハンティング」と表現しており、攻撃者は多数の小口ウォレットを狙う大量攻撃から、少数の大口ターゲットを狙う手口へとシフトしているという。
ユーザーが今回の一件から学ぶべきこと
制裁対象になっている、あるいは法的な立場が不安定なプロトコルには、特有のリスクが伴う。公式のウェブサイトを積極的に管理する運営会社が存在しないため、失効したドメインは攻撃者に登録されるまで誰にも把握されないまま放置されかねない。セキュリティ専門家は一般的に、古いブラウザのブックマークに頼るのではなく、都度確認したIPFSやENSのリンクから分散型フロントエンドにアクセスすることを推奨している。特に公式の管理状況が不確かなプロトコルについては、なおさらだ。
関連記事: 米、イラン人ハッカー17人を起訴 600万ドルのBTC恐喝と大学データ窃取で
今回のケースは、暗号資産におけるフィッシングリスクが必ずしもスマートコントラクトの脆弱性や取引所ハックを伴うとは限らないことを改めて示している。時には、もはや誰も積極的に更新していないインフラを指した、古いブックマークひとつが脆弱性そのものになり得るのだ。
