暗号資産ウォレットがハッキングされたかを見分ける方法：10の警告サイン

自分が承認していない送金が確定していることは、異常を示す最も明確なサインです。しかし、資金がなくなる前からウォレットが危険な状態になっていることもあります。リカバリーフレーズの盗難、隠れた支出権限、ウォレットの管理権限の変更によって、残高が正常に見えていても攻撃者がアクセスできる場合があります。

以下の警告サインには、実際の盗難を示すものもあれば、ウォレットや端末が危険にさらされている可能性を示すものもあります。この違いは重要です。攻撃者がどのようにアクセスしたかによって、対処法が変わるためです。

現在進行形で資金が流出している場合は、そのウォレットへの入金をやめ、記事の終盤にある対処手順に進んでください。

暗号資産ウォレットがハッキングされたとは、実際にはどういう意味か？

暗号資産はブロックチェーン上に記録されています。ウォレットは、秘密鍵やその他の承認ルールを使って、その資産を管理するためのものです。シードフレーズとも呼ばれるリカバリーフレーズを使うと、多くのウォレットアカウントの鍵を復元できます。

「ハッキング」という言葉は、いくつかの異なる問題を指して使われています。

鍵の盗難： 誰かが秘密鍵やリカバリーフレーズを入手し、別の端末から取引を承認できる状態です。
権限の悪用： 特定の資産を第三者が移動できるようにするコントラクトや署名要求を承認した状態です。秘密鍵自体は漏れていない可能性があります。
端末やアプリの侵害： マルウェア、偽ウォレット、悪意のある拡張機能が情報を盗んだり、送信しようとしている内容を変更したりします。
取引所アカウントの侵害： 企業が暗号資産を預かっている取引所のアカウントに、第三者がアクセスします。

ハードウェアウォレットは秘密鍵の保護に役立ちますが、危険な権限を安全なものにはできません。間違った操作を承認すれば、ハードウェアウォレットがその操作に正しく署名してしまうことがあります。

1. 承認していないのに実際の暗号資産がウォレットから流出する

説明のつかない完了済みの送金、NFTの売却、出金を見つけます。スマートフォンの電源を切っている間や、パソコンから離れている間に起こることもあります。

まず、以前設定した自動支払い、取引所からの出金、取引アプリ内での操作など、自分で手配したものではないか確認してください。そのうえで、実際の取引をブロックチェーン上で調べます。

本物の資産が移動し、残高が減ったことを確認してください。ウォレットのアクティビティ欄に不審な記録があるだけでは不十分です。詐欺師は、自分のアドレスから送金したように見える紛らわしいトークン記録を作ることができます。

実際の資産が無断で移動されたと確認できたら、直ちに対処してください。ウォレットが空になるまで待つ必要はありません。

2. 新たな入金がほぼ即座に消える

取引手数料を払うために、ETHなどのネットワークの基軸通貨をウォレットへ送ります。すると数秒以内に、見知らぬアドレスへ移動します。次に入金しても同じことが起こります。

これは、漏えいしたウォレットを監視して利用可能な資金を自動的に奪うプログラム、スイーパーボットによく見られる動きです。自分で設定した自動処理でないことを確認したうえで、このような出金が繰り返されるなら、不正アクセスを示す強い警告です。

ボットは攻撃者のパソコン上で動作できます。ウォレットアプリを閉じたり、スマートフォンを再起動したりしても止まりません。より大きな入金があるまで少額の残高を放置するボットもあるため、資金が残っているだけで安全とは判断できません。

ガス代を追加したり、試しに入金したりしないでください。攻撃者へ資金を渡すだけになるおそれがあります。

3. 覚えのないトークンやNFTの権限が見つかる

多くの暗号資産アプリは、トークンを使用するための支出許可を求めます。こうした承認は、そのアプリを使わなくなってからも長期間有効な場合があります。

見覚えのない支出権限の付与先が最近追加されている、不審なサイトにアクセスした後に権限が付与されている、必要な操作に比べて支出上限が極端に大きい、といったことは警告サインです。NFTの権限によっては、特定のコレクションに属する保有NFTをすべてオペレーターが移転できることもあります。

正規のアプリでも無制限の承認は一般的なので、それだけでハッキングの証拠にはなりません。重要なのは、誰に権限があり、何を移動でき、その権限を意図して付与したかどうかです。

ネットワーク、実際のトークンコントラクト、支出権限の付与先、金額を確認してください。ウォレットとウェブサイトの接続を切っても、すでにブロックチェーンに記録された承認は取り消されません。

4. ログインのはずの署名要求で支出権限を与えてしまう

ログイン、報酬の受け取り、ウォレットの確認のためにサイトを訪れると、取引手数料のかからない署名を求められます。その要求には、承認するつもりのないトークン数量、支出権限の付与先、NFTの売却注文が含まれています。

署名によっては、別途承認トランザクションを行わなくても支出を許可できます。PermitやPermit2と呼ばれる機能、マーケットプレイスの注文署名がその例です。正規のアプリも使用しますが、詐欺師は無害なログイン手順に偽装できます。

ガス代がかからないからといって、その署名が安全だとは判断できません。

さらに注意点があります。署名済みでも未使用の権限は、誰かが提出するまでブロックチェーンに現れない場合があります。その権限がまだ利用可能でも、通常の取引履歴や、場合によっては承認確認ツールに何も表示されないことがあります。

不審な要求に署名した場合は、そのサイトとのやり取りをやめ、署名が何を承認したのか調べてください。取り消し方法は権限の種類によって異なります。通常の承認取り消しですべての未使用署名を無効にできるわけではありません。

5. ウォレットの所有者や管理権限が見覚えのないものに変わっている

ウォレットによっては、複数の所有者、復旧用連絡先、一時的な署名鍵、操作を実行できるソフトウェアモジュールを持っています。こうしたものは一般にスマートウォレットやスマートアカウントと呼ばれます。

追加した覚えのない所有者、必要署名数の減少、知らない復旧方法、新しいモジュールには直ちに注意が必要です。その権限の範囲によっては、通常の承認手順なしで誰かが資金を動かせるようになります。

Ethereumと互換ネットワークでは、EIP-7702という機能により、通常のウォレットでも自分のアドレスを通じてコードを動作させる権限を付与できます。悪意のある承認は、リカバリーフレーズが漏れなくても継続的なアクセスを生む可能性があります。

見落としやすい点として、この機能では、トランザクションの実行が失敗しても、受理された委任が残る場合があります。「失敗」と表示されていても、ウォレットの管理設定が変更されていないとは限りません。

ウォレットの公式ツールでこれらの権限を確認してください。トークンの承認を取り消すだけでは、見知らぬウォレット所有者や委任は削除できません。

6. リカバリーフレーズや秘密鍵が漏えいした

ウェブサイトにフレーズを入力した、サポート担当者を名乗る相手に送った、偽物だったウォレットアプリにインポートした、といったことがあります。また、読み取り可能なバックアップが、侵害されたクラウドアカウントや共有ファイルからアクセス可能になっていたと気づく場合もあります。

まだ何も移動されていなくても、その秘密情報で管理されるアカウントは侵害されたものとして扱ってください。相手は別の場所でウォレットを復元でき、アプリにログイン警告が出るとは限りません。

ウォレットアプリのパスワードを変更しても、漏えいした秘密鍵は変わりません。同じリカバリーフレーズから別のアカウントを作っても解決しません。

漏えいの範囲も重要です。リカバリーフレーズが漏れると複数のアカウントが危険にさらされます。一方、別途インポートした秘密鍵の漏えいは、それが管理するアカウントだけに影響する場合があります。

7. ウォレットアプリや拡張機能がすり替えられたように見える

インストールした覚えのない拡張機能、偽ウォレットのダウンロード、ウォレット情報を盗むソフトウェアについてのセキュリティ警告を見つけます。また、いつものウォレットが、理由のわからない変更の後に突然復元を求めてくる場合もあります。

復元画面には、再インストールやアプリデータの消去など通常の原因もあります。それ自体が盗難の証拠ではありませんが、秘密情報を入力する前にソフトウェアを確認すべき理由になります。

ウォレット提供元の公式サイトからアプリを確認し、拡張機能の正体を確かめてください。見慣れた名前やロゴは簡単にコピーできます。

不審なソフトウェアにすでにリカバリーフレーズを入力したなら、漏えいしたものとして扱ってください。アプリを削除しても、攻撃者がすでに入手したコピーは消えません。

8. 貼り付けると受取アドレスが変わる

受取人のアドレスをコピーし、ウォレットに貼り付けると別のアドレスになります。クリップボード型マルウェアは、暗号資産アドレスを攻撃者のアドレスに置き換えることがあります。

これは端末やソフトウェアに問題があることを示します。秘密鍵が盗まれたとは限りませんが、その端末で送金するのは危険です。

攻撃者は元のアドレスに似せた置換先を使うことがあります。最初と最後の数文字だけの確認では見逃す可能性があります。信頼できるコピーと送金先の全体を比較してください。ハードウェアウォレットでは、承認前に端末の画面でアドレスを確認します。

アドレスが違っていれば取引をキャンセルしてください。正しく見えるまでコピーと貼り付けを繰り返しても解決しません。

9. 説明のつかない損失が複数のアカウントやネットワークに広がる

あるトークンだけがなくなった場合は、そのトークン固有の支出権限が原因のことがあります。同じリカバリーフレーズから作られた複数のアカウントで無断送金が起きた場合は、鍵がより広範囲に漏れている可能性を疑う必要があります。

例えば、2つのネットワークで損失が生じ、同じフレーズに属する別のアカウントでも動きがあれば、より広い調査が必要です。最初に気づいたトークンだけが問題だと決めつけず、影響を受けたすべてのアカウントとネットワークを確認してください。

このパターンは原因の絞り込みに役立ちますが、決定的な証拠ではありません。複数の悪意ある権限や、複数ネットワークで有効なウォレット承認でも広範な損失が生じ得ます。

異なるEthereum系ネットワークでウォレットアドレスが同一なのは正常であり、それ自体は警告サインではありません。問題なのは、それらのアカウントに説明のつかない動きがあることです。

10. 取引所アカウントに見知らぬアクセスや出金がある

暗号資産を取引所に預けている場合は、不明なセッション、復旧情報の変更、新しい出金先アドレス、要求していない出金を確認してください。身に覚えのない二要素認証の変更は特に重大です。

警告の真偽は、自分で公式アプリやサイトを開いて確認してください。恐怖心をあおるメールはフィッシングの可能性があります。見知らぬ場所の表示もVPNや携帯回線が原因の場合があるため、端末、時刻、アカウント操作をまとめて確認します。

取引所アカウントの乗っ取りには、アカウントのセキュリティ対策が必要です。提供元にアカウントのロックや出金制限機能があれば使用し、公式サポートに連絡して、メールと認証手段を保護してください。

こうしたログイン確認は、リカバリーフレーズで管理する基本的なウォレットには同じようには当てはまりません。鍵を持つ相手は、アプリにログインする必要すらない場合があります。

ハッキングの証拠にはならない不審な動き

よくある次のような出来事も、不安を感じさせることがあります。

ドル換算残高の減少： コインの保有枚数は同じでも、価格が下落した可能性があります。
アプリ上でトークンが見えない： 別のアカウントやネットワークを選んだ、トークンを非表示にした、表示上の問題が起きた可能性があります。
見知らぬBitcoinの出力： 支払い時の釣り銭が、自分のウォレットが管理する新しいお釣り用アドレスへ返されることがあります。
勝手に届いたトークンやNFT： スパムだけでは鍵が盗まれた証拠になりません。リンクを開いたり削除のために署名したりせず、非表示にしてください。
見覚えのあるアドレスに似たものが関係する少額またはゼロ価値の送金： アドレスポイズニングの可能性があります。詐欺師が似た受取先を履歴に残し、後でコピーさせる手口です。

偽トークンの中には、本物のトークンと同じ名前やシンボルを使うものがあります。紛らわしい出金記録まで作れることがあります。記録を盗難の証拠とみなす前に、実際のトークンコントラクトと残高を調べてください。

最近のアクティビティから受取先をコピーするのは避けてください。確認済みの受取人か、信頼できるアドレス帳から入手します。

実際に何が起きたかを確認する方法

対象ネットワークに対応する信頼性の高いブロックチェーンエクスプローラーを使用してください。ウォレットを接続したり、手数料を払ったり、リカバリーフレーズを開示したりせずに、公開アドレスを調べることができます。

次の項目を確認してください。

アカウントとネットワーク： 消えた資産を保有していたアドレスを調べているか確かめます。
取引ステータス： 保留中の動きと確定した移動を区別します。ウォレットの委任については、実行が失敗していても権限が変わったか確認します。
実際の資産： 名前やロゴではなく、トークンコントラクトやNFTコレクションを確認します。
残高の変化と送金先： 何がどこへ移動したか特定します。主な取引一覧だけでなく、トークンとNFTの移動履歴も確認します。
過去の権限： 損失に関係する承認、署名、ウォレットの管理権限の変更を探します。

誰かがトークンの承認を利用して資産を奪った場合、トランザクションの送信元は他人のアカウントになっていることがあります。それで送金が無害になるわけではありません。同様に、自分のアドレスが送信元と表示されるトークン記録だけでは、自分が実際に取引へ署名した証拠にはなりません。

ブロックチェーンの記録を解釈しにくい場合は、検証済みのウォレットサポートに公開アドレスとトランザクションハッシュを共有してください。鍵を漏らさずに調査を進める助けになります。

警告サインが本物だった場合の対処法

入金と署名を止める

影響を受けたウォレットへの入金を一時停止します。「修復」「検証」「ロック解除」を持ちかけるものを含め、新たな署名要求を拒否してください。感染が疑われる端末の使用をやめ、別の信頼できる端末で対応を続けます。

リカバリーフレーズや秘密鍵が漏えいした場合

漏えいした秘密情報で管理する通常のウォレットなら、信頼できる端末で、まったく新しいリカバリーフレーズを使った新しいウォレットを作成してください。安全に移動できる場合は残りの資産を移し、影響を受けたアカウントを使用停止にします。それらを指定している支払先情報も更新してください。

スイーパーが動いている場合は、古いウォレットにガス代を追加しないでください。残資産の救出には専門的な取引処理が必要なことがあり、成功は保証されません。

承認や署名済み権限が問題の場合

検証済みのツールを使って該当する権限を取り消し、取り消しが完了したことを確認します。あるネットワークのあるトークンへの承認が、自動的に別の場所にも適用されるわけではありません。

未使用の不審な署名については、ウォレットやプロトコル固有の取消手順に従ってください。権限がまだ使えるか調べる間に、資産の移動が必要になる場合があります。

承認を取り消しても、すでに盗まれた資産は戻りません。また、鍵が漏えいしたウォレットを安全にすることもできません。

ウォレットの管理設定が変更された場合

ウォレットの公式な復旧・権限管理手順に従い、無断で追加された所有者、モジュール、署名鍵、委任を削除します。所有者の鍵が漏えいした場合は、対応するウォレットでその署名者を差し替えてください。再び安全だと判断する前に、提供元固有の案内を確認してください。

取引所アカウントにアクセスされた場合

提供元の公式手順でアカウントをロックするか、出金を制限します。信頼できる端末から、メールを保護し、影響を受けたパスワードを変更し、不明なセッションを削除して、復旧情報と二要素認証を見直してください。

証拠を保存し、被害を報告する

残りの資金を守りながら、トランザクションハッシュ、公開アドレス、時刻、不審なURL、関連メッセージを保存してください。ウォレットや取引所、適切な当局に報告します。

確定したブロックチェーン上の送金は、一般にウォレットサポートでは取り消せません。資産の回収は、取引所による資金凍結、捜査、資金の返還に左右される場合があります。特に前払いの料金やリカバリーフレーズを要求しながら、回収を保証すると約束する相手には注意してください。