Coinbase盗難事件の核心はスマートコントラクト攻撃ではなく「人」だった

これは、オンチェーンアプリケーションのロジック上の欠陥を突く「スマートコントラクト攻撃」とは異なります。サポート担当者を装う詐欺では、攻撃者が利用者に送金を承認させたり、送金に必要な操作を自ら行わせたりします。狙われるのはブロックチェーンそのものではなく、利用者の信頼と判断です。個人情報を知っているように見せかけ、緊急対応を迫ることで、相手に冷静な確認をさせないようにします。

3億ドル超という推計が示すこと、示さないこと

2025年2月、ブロックチェーン調査員のZachXBTとtanuki42は、2024年12月から2025年1月にかけてCoinbase利用者が少なくとも6500万ドル相当を失ったと報告しました。さらに、同様のソーシャルエンジニアリング詐欺による年間被害は3億ドルを超える可能性があると推計しています。調査には被害者からの報告やオンチェーンの取引記録が使われましたが、利用できるデータが不完全であることも示されています。

その後、2025年5月には、組織的なソーシャルエンジニアリング詐欺によって、わずか1週間でCoinbase利用者が約4500万ドルを失ったとする報告も出ました。 これらの数字は、攻撃が一時的な単発事件ではなく、継続的かつ組織的に行われていた可能性を示します。

一方で、個々の事件や後続の資金移動が、すべて同じウォレット管理者によるものだと証明するものではありません。ある調査では、25人以上の被害者と関連する資金集約アドレスも確認されました。こうした資金の集約は、取引を結び付けてキャンペーンのパターンを把握するうえで役立ちますが、現実世界の人物を特定する決定的な証拠とは限りません。

Coinbaseの顧客データ流出との関係は

Coinbaseは2025年5月、海外の一部カスタマーサポート担当者が犯罪者から賄賂を受け取り、顧客情報を渡していたと公表しました。盗まれた情報は、犯罪者がCoinbaseの担当者を装い、利用者に暗号資産を送らせるために使われたとされています。Coinbaseは、この問題への対応や自主的な顧客補償にかかる費用を1億8000万ドルから4億ドルと見積もりました。

氏名、連絡先、アカウント情報などを把握した相手から電話やメッセージが届けば、偽のサポート担当者でも本物らしく見える可能性があります。その意味で、顧客データ流出はサポート詐欺をより巧妙にする重要なリスク要因です。

ただし、ここで示されている公開情報だけでは、顧客データ流出に関与した犯罪者と、今回の盗難に関連付けられたウォレットを管理する人物が同一だとは確認できません。両者は関連するリスクとして捉えるべきですが、共通の犯人だと断定することはできません。

調査員への挑発は、身元の証拠ではない

2025年5月、Coinbaseを狙ったフィッシングキャンペーンと調査員が結び付けたウォレットが、THORChainを使って約4250万ドル相当のビットコインをETHに交換したと報告されました。そのウォレットから、ブロックチェーン調査員のZachXBTに向けて「L bozo」というメッセージも送られています。

これは、ウォレットの管理者が調査員を公然と挑発する意思を持っていたことを示す行動です。しかし、メッセージだけで、その人物の氏名、居場所、あるいは他のすべての盗難事件との関係まで明らかになるわけではありません。

Tornado Cashでなぜ資金回収が難しくなるのか

暗号資産ミキサーは、入金と後の出金を一直線に結び付けにくくするための仕組みです。Tornado Cashでは、複数の利用者による資金を共有プールに集め、入金時とは異なるアドレスへ出金できるようにします。ブロックチェーンの記録そのものが消えるわけではありませんが、単純な「このアドレスから入った資金が、あのアドレスへ出た」という追跡が難しくなります。

捜査側は、送金の時刻や金額、繰り返されるウォレットの行動、クロスチェーンブリッジ、分散型取引所、中央集権型取引所の入金アドレスなどを調べ、資金の関連性を推定できます。しかし、こうした相関関係だけでは、出金先を特定の人物に結び付けたり、取引所や裁判所に資金凍結を求めたりするには不十分な場合があります。資産が追跡可能なカストディ事業者から離れた状態で長く移動すると、回収はさらに難しくなります。

2024年11月のTornado Cash判決が意味すること

2024年11月26日、米国第5巡回区控訴裁判所は、米財務省の外国資産管理局（OFAC）がTornado Cashの変更不能なスマートコントラクトを制裁対象にした際、法律上の権限を超えたとの判断を示しました。裁判所は、該当する法律の下で、これらのスマートコントラクトは差し押さえや封鎖の対象となる「財産」には当たらないと説明しました。

この判決が扱ったのは、制裁の法的根拠です。盗難やマネーロンダリングを合法化したわけではなく、窃盗に伴う刑事責任を消したわけでもありません。また、ミキサーを経由した資金が簡単に回収できるようになったことを意味するものでもありません。判決の射程と、ミキサーが犯罪に利用されたかどうかという問題は、別々に考える必要があります。

Coinbase利用者が取るべき対策

今回の事件で最も注意すべき脅威は、Coinbaseのブロックチェーン基盤にある謎の欠陥ではありません。電話、メッセージ、リンクの向こう側にいる人物が、もっともらしい説明で利用者を信用させることです。

利用者は、次の点を徹底してください。

• 予期していないCoinbaseサポートからの電話、SMS、ダイレクトメッセージは、詐欺を疑って対応する。
• パスワード、シードフレーズ、ワンタイムコード、秘密鍵を決して伝えない。
• 「サポート対応」を理由に、端末への遠隔操作を許可しない。
• 突然届いたメッセージ内のサポートリンクをクリックしない。
• 問い合わせるときは、Coinbaseの公式アプリを開くか、公式サイトのアドレスを自分で入力する。
• 被害に遭った場合は、メッセージ、電話番号、ウォレットアドレス、トランザクションハッシュを保存し、すぐに報告する。

8月の資金移動は、今回の報告に関連する資産が現在も動き続けていることを示しています。ただし、事件から得られるより大きな教訓は明快です。技術的な防御が強固でも、攻撃者が正規の利用者を説得して送金を承認させれば、ソーシャルエンジニアリングによって防御は突破され得ます。