送金1回でボットが起動する｜取引履歴に潜む偽アドレスの正体

取引履歴からアドレスをコピーするほうが、手入力より安全だと感じる人は多いはずです。一度送ったことのある相手のアドレスなら信頼できる。そう考えて履歴からコピーする習慣は、むしろ慎重な行動のように見えます。しかしその「信頼できる場所」こそが、アドレスポイズニングという攻撃が狙う核心です。

送金の瞬間が標的登録の起点になる

攻撃者は自動化されたボットを使い、ビットコインネットワーク上の送金を24時間監視しています。あなたがBTCを送った記録がオンチェーンで確認された瞬間、ボットは処理を開始します。特別なリンクをクリックしたわけでも、怪しいサービスを使ったわけでもない。ただ普通の送金をしたことが、標的確定のトリガーになります。

ボットが生成するのは「よく似た」偽アドレスです。あなたの送金先アドレスを取得し、先頭と末尾の数文字だけが本物と一致するアドレスを新たに生成します。中間の大部分は異なる文字で構成されていますが、画面で一見した印象は本物と区別がつきません。そのアドレスへ極小額を送りつけ、あなたの取引履歴に記録として残します。

この一連の処理は自動化されており、費用も時間もほとんどかかりません。攻撃者のボットは、何千人もの送金者を同時に標的にしながら動き続けています。

履歴の中に置かれた罠

次に同じ相手へ送金するとき、あなたはウォレットの取引履歴を確認します。「前回使ったアドレス」を選ぼうとするその瞬間、本物のアドレスのすぐ近くに偽物が混入しています。

ビットコインアドレスは通常42文字前後あります。先頭4文字と末尾4文字が一致していれば、スマートフォンの画面で全体を流し見たとき、違和感はほぼ生まれません。中間の34文字を毎回すべて照合する人はほとんどいない。送金ボタンを押した後、資金は攻撃者のウォレットへ届きます。

被害者は、自分が何を間違えたのかすぐには気づきません。送金完了の通知が届き、チェーン上にも記録が残っている。後から確認して初めて、送金先が意図した相手ではなかったと分かる。その時点でビットコインを取り戻す方法はありません。この手口による被害は世界で複数確認されており、一度の送金で数千万円規模の損失が生じた事例も報告されています。

取引所ユーザーが持てない確認の手段

取引所のアプリ経由でBTCを送金する場合、送金先アドレスの正当性を独自に確認する手段がありません。アプリの画面に表示された内容を信頼する以外の選択肢がない構造になっています。

ハードウェアウォレットを使う場合、状況が変わります。送金を承認する前に、デバイス本体の小さな画面に送金先アドレスが表示されます。この画面はコンピュータやスマートフォンとは物理的に独立しており、PCにマルウェアが侵入していても書き換えることができません。デバイス上でアドレスの全文字を1文字ずつ照合し、少しでも一致しなければ送金を止めることができます。

秘密鍵を自分で管理するとは、この「最終確認の手段を自分で持つ」ということでもあります。取引所に預けたままでは、この照合環境が存在しません。送金のたびに、確認できない状態で承認を行い続けることになります。

信頼を利用する攻撃の設計原理

アドレスポイズニングの被害者は、危険な行動をしたわけではありません。不審なサイトにアクセスしたわけでも、怪しいリンクを踏んだわけでもない。自分の取引履歴という「信頼できる情報源」からアドレスを選んだだけです。

攻撃者はその日常的な行動を熟知しています。「次の送金で選ばれやすい場所に今植えておく」という設計で動いている。信頼するという心理と、流し見するという習慣が組み合わさって、攻撃面を生み出しています。

送金前にアドレスの全文字を照合する習慣と、その照合が信頼できる独立した環境。この2つが揃わなければ、ビットコインの管理権を守ることはできません。ハードウェアウォレットの導入を検討していた方は、次の送金が実行される前に設定を完了させることをお勧めします。

※本記事は一般的な情報提供を目的としており、投資助言ではありません。