暗号資産のアドレス・ポイズニング攻撃はどのように機能するのか？

要点アドレス・ポイズニングとは、攻撃者が、普段あなたが使っているものに似た偽のアドレスから小さな取引を送って、次の送金で誤ったアドレスをコピーしてしまうことを狙う暗号資産ウォレット詐欺です。
詐欺師は、自分の正規のアドレスの最初と最後の数文字と一致するようにウォレットアドレスを自動生成するツールを使います。これは、ウォレットが短縮表示する仕組みを悪用するものです。
ブロックチェーンの取引は不可逆であるため、汚染されたアドレスに資金を送ってしまうと回収できません。
対策としては、送信前に住所全体を確認すること、アドレス帳の許可リストを使うこと、大口送金の前に少額のテスト送金を行うことが挙げられます。
ウォレットのソフトウェア改善や、Ethereum Name Service（ENS）のような人が読めるアドレスシステムは、時間の経過とともにこれらの攻撃のリスクを低減できます。
はじめにアドレス・ポイズニングは、暗号資産界で比較的見落とされやすい詐欺の一つです。攻撃者はあなたのウォレットをハッキングしたり、秘密鍵を盗んだりしません。代わりに、アドレスをコピーする際にあなたがミスをするのを待ちます。この記事では、アドレス・ポイズニングがどのように機能するのか、実際の攻撃事例はどのようなものだったのか、そして自分を守るために何ができるのかを説明します。
攻撃は単純な事実に依存しています。つまり、ほとんどの人は長いウォレットアドレスのすべての文字を確認しないということです。アドレスは英数字の40〜42文字の文字列で、ウォレットは多くの場合、最初と最後の数文字だけを表示します。詐欺師はこれを悪用し、表示される文字に一致するアドレスを生成することで、偽のアドレスが一目で正しそうに見えるようにします。
暗号資産におけるアドレス・ポイズニング攻撃とは？アドレス・ポイズニングは、詐欺師があなたが普段使っているものに非常に似たウォレットアドレスを作成することで起こります。次に、その偽のアドレスからあなたのウォレットにごく小さな取引を送るため、取引履歴に表示されます。目的は、資金を送る次のタイミングであなたにその偽のアドレスをうっかりコピーさせることです。
ウォレットアドレスは長く、暗記しにくいものです。そのため多くのユーザーは、入力するのではなく、直近の取引履歴からアドレスをコピーすることに頼っています。この習慣により、攻撃者が紛らわしい（見分けにくい）アドレスを紛れ込ませても、気づかれない可能性が生まれます。
攻撃者はどうやって似たアドレスを生成するのですか？詐欺師は、最初の数文字と最後の数文字がターゲットアドレスと一致するものが見つかるまで、毎秒何千ものウォレットアドレスを生成するプログラムを使用します。ウォレットは通常、アドレスの各端で表示するのが4〜6文字程度のため、両端が一致していれば、カジュアルな確認をだますのに十分です。
このプロセス（いわゆるバニティアドレス生成と呼ばれることもあります）は計算コストが低く、大規模に実行できます。単一のキャンペーンで、何千ものウォレットを同時に狙う場合もあります。
典型的なアドレス・ポイズニング攻撃の手順攻撃者は、定期的な取引履歴のあるターゲットのウォレットを特定します。
彼らは、ターゲットが頻繁に送っているアドレスの先頭と末尾の文字に一致する、そっくりのアドレスを生成します。
彼らは偽のアドレスからターゲットのウォレットへ、ごく小さな取引（多くの場合ゼロ価値またはダスト額）を送り、取引履歴に追加します。
ターゲットが次に資金を送る必要が出たとき、最近の取引をスクロールして、正しいように見えるアドレスをコピーします。そこで汚染されたアドレスを選んでしまうと、資金は攻撃者に送られます。
実例2024年5月、ある暗号資産トレーダーが誤って、約6800万ドル相当のラップド・ビットコイン（WBTC）を詐欺師のイーサリアムアドレスに送ってしまいました。攻撃者は、意図した受取人のアドレスの最初の6文字に一致するアドレスを生成していました。資金は最終的に交渉の後返還され、詐欺師は価格上昇による利益として約300万ドルを確保したと報じられています。
アドレス・ポイズニングのキャンペーンは、ここ数年も規模を保ったまま継続されています。セキュリティ研究者は、数万件規模の偽アドレスを用いて、大きな残高を持つウォレットを狙う継続的なキャンペーンを記録しています。攻撃は、ブロックチェーンエクスプローラーで取引パターンが公開されているアクティブなウォレットに集中する傾向があります。
被害者は誰？残高が大きいアクティブな暗号資産ユーザーが、最も一般的なターゲットです。攻撃者は、成功すれば大きなリターンにつながるウォレットを優先するためです。ただし、暗号資産を定期的に送金する人であれば、誰でもリスクがあります。より広い一般的な暗号資産詐欺についても読んで、脅威の全体像を理解できます。
ほとんどのポイズニングの試みは失敗します。ユーザーがアドレスを慎重に検証したり、アドレスをコピーする際に直近の取引履歴を使わなかったり、保存済みの連絡先にだけ送ったりするからです。しかし、キャンペーンの規模が大きいため、成功率が低くても多数のターゲットにわたって大きな損失につながり得ます。
アドレス・ポイズニング攻撃を防ぐ方法送信する前に住所全体を確認してください最初と最後の数文字だけに頼らないでください。いかなる取引も確定する前に、住所全体をスクロールして、意図している受取人と文字ごとに照合してください。特に大口送金では重要です。
取引履歴ではなく、公式の情報源から直接アドレスをコピーしてください。定期的に送る相手（連絡先）に送金する場合は、古い取引から引き出すのではなく、セキュアな手段で相手に住所を再送してもらってください。
アドレス帳または許可リストを使うほとんどのウォレットでは、信頼できるアドレスをラベル付きで保存できます。名前付きのアドレス帳エントリを使えば、そもそも取引履歴からアドレスをコピーする必要がなくなります。繰り返しの支払いでは、アドレスを一度保存して保存済みのエントリを再利用することで、ポイズニング（アドレス汚染）リスクを大幅に下げられます。
まずはテスト送金を行う大口送金では、まず少額を送って正しく届くことを確認してから、残りの金額を送ってください。手間が増えますが、アドレスがポイズニングされていた場合に大きな損失を防げる可能性があります。
人が読めるアドレスシステムを使うEthereum Name Service（ENS）のようなサービスを使うと、長い16進文字列ではなく「yourname.eth」のような人が読める名前に暗号資産を送れます。名前自体が正しく検証されている限り、誤って別のアドレスをコピーしてしまうリスクがなくなります。
ウォレットおよびプロトコルの改善最近の一部のウォレットでは、ポイズニング攻撃でよく使われるゼロ価値やダスト（微小）取引をフラグ付けしたり非表示にしたりすることがあります。アドレスの表示文字数を増やしたり、履歴上で別のアドレスに似ていることを警告したりするウォレットも、リスクを下げられます。大量のウォレットアドレスを生成するコストを引き上げるプロトコルは、将来のキャンペーン規模を制限する可能性があります。
リアルタイム監視高額のウォレットでは、リアルタイムのブロックチェーン監視ツールにより、ポイズニングの試みを示す可能性のある着信ダスト取引を警告できる場合があります。マルチシグウォレットは、送信トランザクションが承認される前に複数の承認を必要とすることで、単一のミスによる影響を減らし、さらなる防御となります。
よくある質問暗号資産におけるアドレス・ポイズニングとは何ですか？アドレス・ポイズニングは、攻撃者が偽のアドレス（あなたが普段使っているものに似た見た目のアドレス）から、あなたのウォレットに小さな取引を送る詐欺です。目的は、取引履歴からその偽のアドレスをコピーさせ、うっかり攻撃者へ資金を送らせることです。
汚染されたアドレスに送ってしまった資金は回収できますか？多くの場合、できません。ブロックチェーン上の取引は不可逆です。誤ったアドレスに資金を送ってしまうと、受取人が自発的に返金しない限り、取り戻すことはできません。そのため、すべての取引で送信前に住所全体を確認することがとても重要です。
自分のウォレットが狙われているかどうかはどう確認できますか？あなたがこれまでに送ったことがあるアドレスに非常に似たアドレスからの小さな入金取引について、ウォレットの取引履歴を確認できます。フィッシングの試みは、そのような取引の前後に行われることが多いです。不審なダスト取引を見つけたら、それに関連するいかなるアドレスもコピーしないでください。
アドレス・ポイズニングはイーサリアムのウォレットにしか影響しませんか？アドレス・ポイズニング攻撃は、イーサリアムやBNB Smart Chainなど、長い16進アドレスを使用する複数のブロックチェーンにまたがって記録されています。ウォレットアドレスが長く、しかも省略表示されることが多いブロックチェーンは、潜在的に影響を受けやすい可能性があります。
最後にアドレス・ポイズニングは低コストの手口ですが、技術的な脆弱性ではなくユーザーの習慣を悪用する効果的な詐欺です。暗号資産の取引は不可逆なので、1度のミスが取り返しのつかない損失につながり得ます。最善の対策は、住所全体を注意深く検証すること、保存済みのアドレス帳を使うこと、大口送金の前にテスト送金を行うことです。
関連情報マルチシグ詐欺とは？回避方法は？
暗号資産の保有を守るための5つのヒント
ラップド・ビットコイン（WBTC）とは何ですか？
よくある暗号資産の詐欺5選と回避方法
暗号資産ウォレットの種類を解説
免責事項：本コンテンツは「現状のまま」提供されるもので、一般情報および／または教育目的のためにのみ掲載されています。いかなる種類の表明または保証も行いません。これは、金融・法務、その他の専門的助言として解釈されるべきではなく、特定の製品またはサービスの購入を推奨する意図もありません。適切な専門家からご自身で助言を得てください。本コンテンツが第三者の投稿者によって提供されている場合、当該第三者の投稿者が述べた見解は第三者の投稿者に帰属し、Binance Academyの見解を必ずしも反映するものではありません。デジタルアセットの価格は変動しやすいものです。投資した金額の価値は上がる場合も下がる場合もあり、投資額を回収できない可能性があります。投資判断はすべてご自身で行うものとし、Binance Academyは、発生し得る損失について一切の責任を負いません。詳細は、利用規約、リスクに関する警告、およびBinance Academyの利用規約をご覧ください。