存在するアドレスに暗号資産を送金し、送金の確認を受け取ったあと、そのお金が誰も引き出せない場所に届いていたと知る……犯罪者が現れるまでは？
偽造されたアドレスや、クリップボードを書き換えるウイルスの話ではありません……m
これは、コンピューターセキュリティ分野で最も重要な国際会議の一つであるUSENIX Security 2026で発表された研究で記録された手法です。
Address Misuse、つまりブロックチェーンアドレスの誤用として知られています。
そして不気味な特徴があります。同じアドレスでも、使うネットワークによってまったく異なる働きをする可能性があり、攻撃者はそれを利用できるのです。
どういう仕組み？順を追って見ていきましょう。
まず、基本的なことを理解する必要があります。
EthereumとBNB Smart Chainは、それぞれ独立したネットワークです。同じ形式のアドレスを使えるからといって、それぞれのアドレスの先に同じサービスが存在するわけではありません。
別々の二つの街を想像してみてください。
どちらの街にも「サン・マルティン通り150番地」があるかもしれません……住所の表記は同じでも、建物や所有者はまったく違う可能性があります。
ブロックチェーンでも、これと似たことが起こります。
あるネットワークでは、暗号資産を交換するプログラムがアドレスに存在していても、別のネットワークでは同じアドレスが空である可能性があります。
ここから問題が始まります。
第一：正規のものに見えるアドレスを用意する。
研究者たちは、攻撃者がテストネットを使って、よく知られたサービスを提供しているように見せかけたスマートコントラクトを配置する事例を特定しました。
スマートコントラクトとは、通貨の交換、資金の管理、取引の自動実行などができるプログラムです。
その後、そうしたアドレスは技術情報サイトや非公式のドキュメントに掲載されます。
ユーザーはそれを見つけ、実際のお金を使った取引にも使えると思い込んでしまいます。
第二：ユーザーが間違ったネットワークでアドレスを使う。
ある人が、$ETH を別の暗号資産に交換するサービスだというアドレスを見つけたとしましょう。
しかし、そのアドレスはテストネットに配置されたコントラクトのものです。
気づかないまま、ウォレットをEthereumメインネットに切り替え、同じアドレスに資金を送ります。
ここで予想外のことが起こります。
そのネットワークには、交換を実行するはずのコントラクトがまだ存在しません。
それでも、コードのないアドレスに$ETH を送る取引は、通常の送金としてブロックチェーンに受理されることがあります。
資金はウォレットから出て、取引は承認済みと表示されますが、交換は実行されません。
資金は、それを管理するのに必要なプログラムがまだ存在しないアドレスに預けられたままになります。
第三：攻撃者は資金が蓄積されるのを待つ。
研究者たちは、さらに深刻な事実を発見しました。
場合によっては、犯罪者がそのアドレスに将来作成されるコントラクトを制御できました。
どういうことでしょうか？
スマートコントラクトのアドレスの中には、事前に計算できるものがあるからです。
つまり、コントラクト作成に必要な条件を制御する攻撃者は、コントラクトを配置する前に、そのコントラクトがどこに現れるかを把握できるのです。
ユーザーが間違いを重ねるあいだに、暗号資産は蓄積されていきます。
第四：資金を引き出せるコントラクトを配置する。
十分な額が蓄積されると、攻撃者はまさにそのアドレスに悪意あるコントラクトをデプロイします。
そのプログラムには、利用可能な資金を犯罪者が管理するウォレットに送金する命令が組み込まれています。
それまでコントラクトが存在しなかったアドレスに、預けられた暗号資産を動かせるプログラムが配置されます……そして攻撃者は資金を引き出します。
これは仮説上の話ではありません。
研究者たちは、Uniswapの交換機能を提供しているように見える、Sepoliaテストネット上のアドレスを記録しました。
Ethereumメインネットで同じアドレスを使ったユーザーは、期待していたコントラクトがまだ存在しない場所に$ETH を送ることになりました。
2024年10月、攻撃者はそのアドレスに悪意あるコントラクトをデプロイし、蓄積されていた3.78 $ETHを引き出しました。
この事例は、ブロックチェーン上の実際のトランザクションをもとに再構成されました。
そして2026年に発表された調査では、さらに大規模な実態が明らかになりました。
この手口に関連する469件の悪意あるコントラクトが確認され、約3,446 $ETHと431 $BNBの損失が発生していました。
この研究では、アドレスの誤用に関するほかの種類の事例も調査され、損失額は合計で推定5億7,400万ドルを超えました。この金額は調査対象となった問題全体に関するものであり、469件の悪意あるコントラクトだけによるものではありません。
どうすれば防げるのでしょうか？
スマートコントラクトとやり取りする前に、そのアドレスが操作しようとしているネットワークのものと完全に一致するか確認してください。
プロジェクトの公式ドキュメントを確認し、EtherscanやBscScanなどのブロックチェーンエクスプローラーで、そのネットワーク上に本当にコントラクトが存在するか確かめましょう。
チュートリアル、リポジトリ、投稿などからコピーしたアドレスは、出所を確認せずに使わないでください。実際の資金で使うべきではないテスト用アドレスは、なおさらです。
また、トランザクションが承認されたという事実が示すのは、ネットワークが処理を実行したということだけです。正しいコントラクトを使ったことも、期待したサービスを受けられたことも保証されません。
アドレス誤用で最も不気味なのは、だましの手口そのものです。
犯罪者は、必ずしもあなたの送金を傍受する必要はありません。
状況を整え、ネットワーク間の混同につけ込み、ユーザー自身が資金を預けるのを待てばよいのです……
記録された事例では、攻撃者はすぐに資金を引き出す必要すらありませんでした。資金を奪うのに都合のよい条件が整うまで待つことができたのです。
🧠 アドレスは変わっていない。送金は偽造されていない。ブロックチェーンがハッキングされたわけでもない。
問題は、どのネットワークでも同じアドレスが同じコントラクトを指すと信じてしまったことでした。
ブロックチェーンでは、指定したアドレスに資金が届いたからといって、自分が思っていた相手に届いたとは限らないのです……
出典
USENIX Security 2026 — Lost in Blockchain Address Misuse: Hidden Cross-Platform Risks and Their Security Impact.
Zhenzhe Shaoらによる研究。EthereumおよびBNB Smart Chain上の実際の取引を分析したもの。
https://www.usenix.org/conference/usenixsecurity26/presentation/shao-zhenzhe