イーサリアムで"悪質トークン承認"を許可、トレーダーが約100万ドル相当を失う

オンチェーン追跡ツールを提供するScam Snifferによると、暗号資産ユーザーがイーサリアム上でフィッシング由来のトークン承認（approve）を許可した結果、約100万ドル相当の資産を失った。被害額は999,999 USDT（USDT）で、承認を起点に不正送金が実行されたという。 Scam Snifferの説明では、攻撃者は当初、multicallによる一括処理で資金を抜き取ろうとしたが残高不足で失敗。その直後、残高を再計算したうえで追撃の送金を数秒以内に実行し、最終的に残り資金を引き抜いた。Etherscan上でも、999,999 USDTの流出に至る3件の取引が確認できる。 今回の事例は、承認フィッシングが単発の詐欺から、再現性のある"盗難ワークフロー"へと進化している点を浮き彫りにした。イーサリアムのトークン承認は一度の署名で支出権限を広範に付与し得るため、攻撃者は自動化した転送で短時間に資産を吸い上げられる。初回の引き出しが失敗しても、続く取引でウォレットを空にできるケースがある点も示された。 被害が繰り返される背景として、同種の手口が広く使われ続けていることがある。報道で引用されたCertiKのデータでは、2025年のフィッシング被害は248件で計7億2,300万ドルに達した。構図は共通しており、ソーシャルエンジニアリングで被害者に"approve"を促し、攻撃者が管理するコントラクトに支出権限を渡させる。権限を得た側は、その後に被害者の追加操作を必要とせずに残高を引き出せるため、犯罪者にとって規模拡大が容易とされる。記事は、暗号資産業界では年初来の上半期だけでフィッシング損失が3億6,600万ドルにのぼったとも伝えている。 さらにリスクを高めるのが、攻撃者がウォレットや権限付与の"型"を使い回す点だ。今月初旬には、偽の取引所に接続して悪性コントラクトへ署名した被害者が165万ドルを失った事例も報告されており、研究者のRyan Colemanは、承認によって"無制限のアクセス"が与えられ、自動スイーパーで資金が回収されたとしている。 Chainalysisは以前、2025年のオンチェーン詐欺収益が少なくとも140億ドルに達し、投資詐欺が主要カテゴリであると報告。承認フィッシングについても、投資詐欺がソーシャルエンジニアリングから自動化されたオンチェーン窃取へ移行する手段の一つだと説明している。同社は、犯罪者が同一のウォレット、正規の承認機能、共通する換金ルートを被害者間で反復利用する点を警告しており、単一事案の解明がより大きなネットワークの露見につながり得る。Chainalysisの上級調査員Renato Bastosも、ウォレットの使い回しや運用経路の反復によって、各報告がより広範なネットワークを示す可能性がある旨を述べたとされる。 承認フィッシング以外の手口として、アドレスポイズニングも注意が必要だ。これは、正規アドレスに似た文字列のアドレスを用意し、少額（ダスト）を送り付けて取引履歴に紛れ込ませる手法。利用者が履歴からコピー＆ペーストすると、送金先を攻撃者側に誤ってしまう恐れがある。記事によれば、MetaMaskは6月にアドレスポイズニングのライブ検知機能を導入し、貼り付けたアドレスを過去のやり取り先と照合して不審な新規アドレスを警告する仕組みを提供している。 承認フィッシングとアドレスポイズニングに共通するのは、利用者の"操作"を狙う点だ。署名で付与する権限の範囲、送金先アドレスの一致を都度確認し、承認要求を急いで処理しないことが基本的な防衛策となる。今回の999,999 USDTの流出のように、実行手順が洗練され、同じパターンが横展開されるほど被害は増幅しやすい。セキュリティ企業やオンチェーン分析者は、再利用されるドレイン用スクリプトや共通インフラの追跡を続け、キャンペーン化する前段階での特定を目指す見通しだ。