原文タイトル：《5000万ドルが盗まれた、たったの理由はアドレスを注意深く確認しなかったから》
原文著者：Eric, Foresight News
北京時間昨日未明、X（旧Twitter）上でSpecterと名乗るオンチェーンアナリストが、送金先アドレスを注意深く確認しなかったために約5000万USDTがハッカーアドレスに送られてしまった事件を発見した。
筆者の調査によると、当該アドレス（0xcB80784ef74C98A89b6Ab8D96ebE890859600819）は北京時間19日13時頃、Binanceから50 USDTを引き出し、多額の出金前のテストを行っていた。
約10時間後、このアドレスはBinanceから一括で49,999,950 USDTを引き出し、事前に引き出した50 USDTと合わせて、ちょうど5000万USDTとなった。
約20分後、5000万USDTを受け取ったアドレスは、まず0xbaf4…95F8b5に50 USDTを送金してテストを行った。
このテスト送金が完了してから15分も経たないうちに、ハッカーアドレス0xbaff…08f8b5が、残りの49,999,950 USDTが入っているアドレスに0.005 USDTを送金した。ハッカーが使用したアドレスは、50 USDTを受け取ったアドレスと先頭と末尾が非常に似ており、明らかな「アドレス汚染（Address Poisoning）」攻撃であった。
10分後、0xcB80で始まるアドレスが残りの4000万USDT以上を移動させようとした際、おそらく不注意から直前の取引（つまりハッカーが「汚染」を行ったアドレス）をコピーしてしまい、約5000万USDTを直接ハッカーの手に渡してしまった。
5000万ドルを手にしたハッカーは、30分後には資金洗浄を開始した。SlowMistの監視によると、ハッカーはまずMetaMaskを通じてUSDTをDAIに交換し、その後全てのDAIを使用して約16,690 ETHを購入し、10 ETHを残して残りのイーサリアムを全てTornado Cashに送金した。
北京時間昨日16時頃、被害者はオンチェーン上でハッカーに対し、正式に刑事訴訟を提起したこと、また法執行機関、サイバーセキュリティ機関、複数のブロックチェーンプロトコルの協力を得て、このハッカー活動に関する大量の信頼性の高い情報を収集したことを表明した。被害者は、ハッカーが100万ドルを手元に残し、残りの98%の資金を返還すれば、それ以上の追求はしないと述べた。もし協力しなければ、法的な手段でハッカーの刑事および民事責任を追及し、ハッカーの身元を公表するとしている。しかし、現時点ではハッカー側からの反応は一切ない。
Arkhamプラットフォームが整理したデータによると、このアドレスはBinance、Kraken、Coinhako、Coboのアドレスと多額の送金記録があった。Binance、Kraken、Coboについては説明は不要だろう。Coinhakoは比較的聞き慣れない名前かもしれない。Coinhakoは2014年に設立されたシンガポールのローカル暗号資産取引所で、2022年にシンガポール金融管理局（MAS）から主要決済機関（MPI）ライセンスを取得しており、シンガポールで規制を受ける取引所に属する。
このアドレスが複数の地域の取引所とCoboのカストディサービスを利用していること、また事件発生から24時間以内に迅速に関係各方面に連絡を取り、ハッカーの追跡を完了させた能力を鑑みると、筆者はこのアドレスが個人ではなく、おそらく何らかの機関に属するものと推測している。
「不注意」が招いた大惨事
「アドレス汚染」攻撃に成功する唯一の説明は「不注意」である。この種の攻撃は、送金前にアドレスをもう一度確認するだけで防ぐことができるが、明らかに今回の事故の当事者はこの重要なステップを省略してしまった。
アドレス汚染攻撃は2022年頃から出現し始め、その起源は「美しい番号アドレス（Vanity Address）」ジェネレーター、つまりEVMアドレスの先頭をカスタマイズできるツールにある。例えば、筆者自身も0xericで始まるアドレスを生成して、アドレスにラベル付けすることができる。
このツールは後に、設計上の問題から秘密鍵をブルートフォースで解読できることがハッカーによって発見され、いくつかの大規模な資金窃盗事件を引き起こした。しかし、カスタマイズされた先頭と末尾を生成する能力は、悪意を持つ者たちにある「悪巧み」を思いつかせた。ユーザーがよく使う送金アドレスと先頭と末尾が似たアドレスを生成し、ユーザーがよく使う他のアドレスに送金することで、一部の不注意なユーザーがハッカーアドレスを自分のアドレスと勘違いし、自らオンチェーン資産をハッカーのポケットに送り込んでしまう可能性があるというものだ。
過去のオンチェーン情報によると、0xcB80で始まるアドレスは、今回の攻撃以前からハッカーによる汚染の主要なターゲットの一つであり、そのアドレス汚染攻撃は約1年前から始まっていた。この攻撃方法は本質的に、ハッカーが「あなたがいずれ面倒くさがったり不注意になったりして騙される日が来る」と賭けているものであり、まさに一目で見破れるような攻撃方法であるがゆえに、「大雑把な人々」が次々と被害者になっている。
今回の事件について、F2Poolの共同創業者である王純氏はXで被害者への同情を表明し、自身も昨年、自分のアドレスの秘密鍵が漏洩していないかテストするために500 BTCを送金したところ、490 BTCをハッカーに盗まれたと述べた。王純氏の経験はアドレス汚染攻撃とは関係ないが、誰にでも「愚かなことをする」時はあるものであり、被害者の不注意を責めるのではなく、矛先をハッカーに向けるべきだということを伝えたかったのだろう。
5000万ドルは小さな金額ではないが、この種の攻撃による盗難金額としては最大ではない。2024年5月には、この種の攻撃により、あるアドレスがハッカーアドレスに7000万ドル以上の価値があるWBTCを送金したが、被害者は最終的にセキュリティ企業Match Systemsと取引所Cryptexの協力を得て、オンチェーン交渉を通じてほぼ全資金を回収した。しかし、今回の事件ではハッカーがすでに盗難資金を迅速にETHに交換しTornado Cashに送金しており、最終的に回収できるかどうかは未知数である。
Casaの共同創業者兼最高セキュリティ責任者（CSO）であるJameson Lopp氏は4月、アドレス汚染攻撃が急速に拡大していると警告し、2023年以降、ビットコインネットワーク上だけでこの種の事件が48,000件も発生していると述べた。
Telegram上の偽のZoom会議リンクを含め、これらの攻撃手段は高度なものとは言えないが、まさにこの「素朴な」攻撃方法こそが人々の警戒心を緩ませてしまう。暗黒の森（Dark Forest）に生きる我々にとって、常に一歩先を読んで用心することに越したことはない。
