詐欺師がEthereum(ETH)の初期ブロックウォレットに類似アドレス3件からダスト送金

11年ぶりに動いた初期ウォレット、2,154.94 ETHを移転

2015年の初期ブロックから眠っていたEthereum (ETH)のウォレットが、11年ぶりとなる最初の送金からわずか3分で詐欺師のダスト攻撃を受けた。それでも所有者は全額を正しい宛先へ移すことに成功している。オンチェーン記録によると、このアドレスは2015年7月のイーサリアムの初期ブロックで初めてETHを受け取り、2016年3月にさらに755 ETHを追加した後、月曜日の深夜まで沈黙を保っていた。11月9日22時4分(UTC)、ウォレットは「0x1321beb8」で始まり「1A44」で終わる新しい受取人アドレスに0.05 ETH(当時のレートで約106ドル)のテスト送金を実行。記録に残る初めての送出取引であり、106ドルという額は本線ではなく確認用であることを示していた。テスト送金から3分以内に、2つの類似アドレスが古いウォレットへ少額のETHの送金を開始。片方は「0x13211f」、もう片方は「0x1321FB」で始まり、いずれも末尾は「1A44」だれていた。眠っていたウォレットはその夜すでに注目を集めており、11月9日深夜に投稿されたオンチェーン監視サービスの警報は、11.3年ぶりに動いたプリマイン由来のアドレスとして取り上げていた。Etherscanは両方の類似アドレスに資金を供給した口座に「Fake_Phishing」のラベルを付けており、活動の活発な方が初期アドレスへ43回に分けてダスト送金を実行した。22時20分(UTC)に新しいウォレットから0.01 ETHが送り出され、そのほぼ全額が3分後に返ってきた。そして最初のテスト送金から38分後の22時42分(UTC)、古いウォレットは全額の2,154.94 ETHを正規の受取人へ移転した。当時のイーサリアムの価格で約460万ドルに相当する。オンチェーンの取引記録がこの流れを示している。所有者は最後まで類似アドレスの表示を無視し、初期ウォレットには約0.0004 ETHだけを残して約2,155 ETHの全残高を正しい宛先へ送った。空になったはずのアドレスに対し、「0x1321FB」の類似アドレスは23時3分(UTC)に再び送金を行い、圧力をかけ続けている。

切り詰めた表示を突くアドレスポイズニングの手口

ダスト攻撃の背後にあるのはアドレスポイズニングだ。長い文字列を短く表示するウォレットの習慣そのものが攻撃面になる。ほとんどのインターフェースはウォレットアドレスの42文字をすべて表示せず、0x6D90...2E48のような短縮形を見せる。全文のままでは一見して読めないからだ。攻撃者は大量のアドレスを生成し、標的が実際にやり取りする相手の先頭と末尾の文字に一致する組み合わせが出るまで試し続ける。一致するアドレスが見つかると、ダスト送金かゼロ値トランザクションを送り、偽の履歴を被害者の最近の取引履歴に紛れ込ませる。偽のアドレスが履歴に入り込むと、ユーザーはコピー操作ひとつでその文字列をクリップボードに載せてしまう。ゼロ値の転送は攻撃者にとってほぼ無コストであり、この手法が大量に実行できる理由になっている。偽の履歴を次の支払いでコピーしてしまえば資金は攻撃者へ流れ、イーサリアム (ETH)の送金は取り消しが効かない。過去の事例はコピー段階での失敗がどれほど高くつくかを示す。2025年12月には、50ドルのテスト送金の直後にスクリプトが取引履歴を汚染し、トレーダーが約5,000万ドル相当のUSDTを失った。2026年1月には被害者が4,556 ETH(約1,225万ドル)を攻撃者の管理するアドレスへ送金し、2月には別のユーザーが60万ドルを失っている。規模はイーサリアムのネットワーク統計を歪めるレベルに達しており、監視データではポイズニングの試みが1日あたり100万件を超える。シティグループは1月、スパム取引がイーサリアムの記録的な取引数を膨らませており、追加された転送の大部分が1ドル未満の価値だと警告していた。保管形態も問題を解消しない。今回の初期ウォレットの資産は10年以上動かぬまま、事実上コールドウォレットと同じ状態だったが、リスクが顕在化したのは送金の瞬間、宛先アドレスを一文字ずつ確認しなければならない場面だった。COINOTAGのイーサリアムの使い方ガイドでは、取引に署名する前に受取人を確認する手順を解説している。

決め手となったのは3分という反応時間だ。ダスト攻撃は0.05 ETHのテスト送金、つまり大口保有者が受取人を確認するために行う工程に連動して発動しており、ポイズニングの運営者がチェーンをリアルタイムで監視していることを物語る。今回の所有者は確認を通過したが、オンチェーン上の隙間はそのまま残っている。火曜日には3つ目の「1A44」で終わる類似アドレスが03時36分と03時49分(UTC)にゼロ値の転送を実行した。すでに約0.0004 ETHしか保有していないアドレスへの攻撃である。ハードウェアウォレットを持っていてもこの種のリスクは防げない。汚染された文字列を貼り付けてしまえば、オフラインの鍵保管も確認画面の前では無力だからだ。有効な対策はアドレス全文の確認である。なお今回の事件は、SlowMistがイーサリアム(ETH)ユーザーへ出した警告、GitHub経由で拡散したSwarmのサプライチェーン攻撃への注意呼びかけから数週間後に起きた。