2 時間前
1
この記事の要点
- 研究チームが悪質スマコン4,224件を検出、被害5.5億円と公表
- 署名前は安全に偽装、実行時に資産を奪う新手口が発覚
悪質スマートコントラクト4,224件、約5.5億円被害
研究チームは2026年7月30日、イーサリアム（ETH）などで確認された悪質なスマートコントラクト4,224件を分析した調査結果を、論文投稿サイト「arXiv（アーカイブ）」で公表しました。
同論文によると、被害は5,742のウォレットに及び、損失総額は約348万ドル（約5.5億円）に達したとしています。
研究チームは、署名前の確認画面では安全な取引に見せかけ、実際の実行時に資産を盗み取る手口が確認されたと報告しています。
このため、署名前のプレビューだけを頼りに取引を承認した利用者は、安全と表示された取引でも資産を失う恐れがあると、研究チームは注意を呼びかけています。
スマコン悪用で仮想通貨を盗む
プレビューを欺く仕組みと防御の限界
見せかけの安全表示で資産を奪う
研究チームはこの攻撃を「トランザクション・シミュレーション・フィッシング」と名付け、その仕組みや被害の実態を体系的に分析した論文を公表しました。
この手口では契約が実行時のブロックチェーンの状態を読み取り、その状況に応じて処理内容を切り替えるよう設計されているといいます。
プレビューの段階では安全に見える残高変化を表示する一方、実際に取引が確定する段階では別の処理へ切り替わり、利用者が気づかないまま資産が奪われると研究チームは説明しています。
同論文は、ブロック番号やタイムスタンプ、送信者のアドレスなど、試算時と実行時で値が変わる情報を判定材料に用いる複数の攻撃パターンを確認したと報告しています。
損失の91.5%がイーサリアムで発生
研究チームは被害の実態を把握するため、こうした契約を自動で検出するシステム「SIMGUARD（シムガード）」を独自に開発し、大規模な調査を実施したとしています。
同システムをイーサリアム・BNBチェーン・アバランチ（AVAX）・ポリゴン（POL）の4つに適用した結果、2024年8月から2025年6月までに展開された契約4,224件を検出したとしています。
分析の結果、損失総額の91.5%にあたる約318万ドル（約5億円）がイーサリアムで発生していたと、同論文は報告しました。
研究チームはさらに、類似した特徴を持つ契約を分類した結果、最大の攻撃者グループ1組だけで被害総額の約83%を占めていたと明らかにしました。
ウォレット防御に潜む死角
同論文によると、トランザクション・シミュレーションはMetaMask（メタマスク）など主要なウォレットが利用者保護のために導入した機能で、資金を直接盗み取る従来型の攻撃への対策として機能してきました。
一方、今回確認された手口は、その安全確認の仕組み自体を逆手に取り、試算では安全な取引に見せかけながら実際の実行時だけ処理を切り替えることで資産を奪うと、研究チームは分析しています。
このため研究チームは、現在の仕組みだけではこの種の攻撃を見抜くことは難しいとして、より堅牢なシミュレーション機構の整備が必要だと指摘しました。
具体的な対策として同論文は、手数料やブロックチェーンの状態が変化した場合に試算をやり直すことや、送金総額を残高の増減とあわせて表示する仕組みを提唱しています。
QRコードで偽サイトへ誘導
多様化する詐欺、狙われる仮想通貨保有者
ウォレットの安全確認そのものを悪用する今回のような手口に加え、仮想通貨の利用者を標的とする詐欺やフィッシングは、近年さらに手法の多様化が進んでいます。
最近では、米内国歳入庁（IRS）を装った偽の手紙が仮想通貨の保有者に送りつけられ、記載されたQRコードから偽サイトへ誘導する手口も確認されています。
被害はソフトウェアだけでなく、ハードウェアウォレット「Coldcard（コールドカード）」にも及び、乱数生成の欠陥から約140億円規模の資産が流出したことが判明しました。
こうした被害が相次ぐなか、今回の研究は、署名前の確認画面だけを信頼しても資産を守り切れない場合があることをあらためて示しています。
※価格は執筆時点でのレート換算（1ドル=157.37 円）
関連の注目記事はこちら
Source：論文投稿サイト「arXiv」
サムネイル：AIによる生成画像
English (US) · 
Japanese (JP) ·