ウォレットセキュリティをやさしく解説

アドレスポイズニング:偽のウォレットアドレスが取引履歴に紛れ込む仕組み

詐欺師はシードフレーズや秘密鍵を盗む必要はありません。履歴に紛れ込んだ偽アドレスを確認せずコピーしてしまうだけで被害につながります。

簡単な回答

アドレスポイズニングとは?

アドレスポイズニングは、ウォレットやエクスプローラーの履歴に本物そっくりの偽アドレスを紛れ込ませる仮想通貨詐欺です。偽アドレス自体がウォレットを操作することはありませんが、そのアドレスをコピーして送金すると被害が発生します。

見覚えのないゼロ送金やダストがあっても、ウォレットが侵害されたとは限りません。触れずに無視し、そのアドレスを今後の送金先に使わないでください。

2024年5月3日・Ethereum

約6,800万ドルが誤送金され、その後返還

Chainalysisによると、最初の少額送金はテスト送金と考えられます。その数分後、ウォレットは約1,155 WBTCを短縮表示で酷似した別のアドレスへ送金しました。この2つ目のアドレスが詐欺師のものでした。

被害者は誤った宛先に署名し、Ethereumはその指示通りに処理しました。後日、被害者がオンチェーンで公開メッセージを送った結果、詐欺師が5月9日に元の6,800万ドルを返還しましたが、これは例外的なケースであり、通常は送金の取り消しや返金はできません。

返還は元のWBTCではなくETHで行われました。Chainalysisの推計では、詐欺師は資産価値の上昇分として約300万ドルを手元に残したとみられます。

送金済み約6,800万ドル
資産約1,155WBTC
原因似せた受取人
その後の経過約6,800万ドル相当がETHで返還
テスト送金が無意味というわけではありません。

テスト送金が有効なのは、信頼できる宛先を再利用する場合のみです。履歴から新たに偽アドレスをコピーすると本送金も詐欺師に送られてしまいます。

攻撃の流れ

アドレスポイズニングの手口を段階ごとに解説

この攻撃は送金先を選ぶ瞬間を狙います。ウォレットの暗号技術を破る必要はありません。

  1. 01

    本物の送金が公開される

    被害者が正規の受取人に仮想通貨を送金すると、ブロックチェーン上に両方のアドレスが公開されます。

  2. 02

    受取人のパターンが観察される

    詐欺師は公開履歴から被害者が再利用しそうなアドレスを特定します。

  3. 03

    似たアドレスが用意される

    偽アドレスは本物と同じ文字列を含みますが、実際は詐欺師のものです。

  4. 04

    偽の履歴がウォレットに表示される

    ゼロ送金やダスト、トークン送信で偽アドレスが履歴に表示されます。

  5. 05

    誤ったアドレスがコピーされる

    後日、被害者は信頼できる情報源に戻らず、見覚えのある履歴から宛先を選んでしまいます。

  6. 06

    正規の取引が詐欺師に送金される

    被害者が送金に署名すると、ブロックチェーンは承認されたアドレスに正確に資金を送ります。

本来の受取人 公開取引 履歴に紛れた偽アドレス 誤アドレスをコピー

見た目の罠

先頭と末尾が同じでも中身が異なる場合がある

ウォレットは長いアドレスを短縮表示することが多く、これが詐欺師が変更した部分を隠してしまう原因になります。

認証済み受取人 0x91A4b7C2e6F1930DABCD8a45B6cE19fA003172F8
ポイズニングアドレス 0x91A4f3D8c4E7192BCAFE6a90C1dE48B700A972F8

短縮表示の履歴で見えるもの

0x91A4…72F8 0x91A4…72F8

なぜウォレットに表示されるのか

履歴には自分が承認していない記録も表示される

パブリックブロックチェーンでは誰でもアドレスを調べたり、許可された取引やトークンを送信できます。ウォレットは自分が承認していない履歴も表示する場合があります。

ゼロ送金

ゼロバリュー送金

経済的価値のないトークンイベントでも、ウォレットやエクスプローラーの履歴に表示される場合があります。

ごく少額

ダスト送金

ごく少額の送金で偽アドレスを履歴に紛れ込ませます。

トークン履歴

偽装トークンの履歴

無価値または紛らわしいトークンが、過去の送金名や金額を模倣し、履歴を本物のように見せかけることがあります。

繰り返しパターン

コピーした取引情報

偽履歴は過去の金額やタイミングを模倣し、本物の取引に見せかけることがあります。

ポイズニングされた取引を消せますか?

確定したブロックチェーン記録は消せません。一部ウォレットは怪しい履歴を非表示やぼかし表示できますが、履歴だけで資金が盗まれることはありません。

返送すべきですか?

いいえ。返信やダスト返送、トークンリンクのクリック、送信者アドレスのコピーは避けてください。履歴は無視し、今後の宛先は必ず独自に確認しましょう。

攻撃対象を知る

アドレスポイズニングはブロックチェーンや秘密鍵のハッキングではありません

取引自体は所有者が承認しているため有効です。偽宛先を本物と誤認する段階で詐欺が成立します。

攻撃 狙われるポイント 秘密鍵が漏洩した?
アドレスポイズニング 宛先選択と見た目の類似性 いいえ
クリップボードマルウェア クリップボードや感染端末 必ずしもそうではありません
フィッシング 偽サイト・偽メッセージ・偽アプリへの信頼 必ずしもそうとは限りませんが、よくある目的です
シードや秘密鍵の盗難 ウォレットの署名秘密情報 はい
有効な署名 本来の受取人

大規模な測定結果

数億回規模の試行、珍しい事故ではありません

USENIX Security 2025の調査では、2022年7月から2024年6月までのEthereumとBNB Smart Chain上のアドレスポイズニングを測定しました。検出された活動は以下の通りです。

2億7,000万 検出されたポイズニング試行
1,700万 標的となったアドレス
6,633 被害者による誤送金
少なくとも8,380万ドル 確認された被害額

これらは調査手法と定義に基づく推計値であり、全ブロックチェーンの全ての試行を網羅したものではありません。

優先度順の対策

アドレスポイズニング被害を防ぐ方法

宛先は必ず信頼できる情報源から取得しましょう。追加確認も有効ですが、履歴からコピーしたアドレスは修正できません。

  1. 01

    履歴から宛先をコピーしないでください

    宛先は必ず認証済みの情報源から取得しましょう。履歴はオンチェーンの記録であり、アドレスの所有者を証明するものではありません。

  2. 02

    認証済みアドレス帳や許可リストを利用

    よく使う宛先は、必ず別の信頼できる手段で確認してから保存しましょう。ラベル付けで見分けやすくなります。

  3. 03

    アドレス全体を確認

    できるだけ認証済みのアドレス帳やQRコード、信頼できる情報源を利用しましょう。手動で照合する場合は、先頭や末尾だけでなくアドレス全体を必ず確認してください。

  4. 04

    ハードウェアウォレットの画面で確認

    ハードウェアウォレットに表示されるアドレスと、信頼できる独立した情報源の受取人アドレスを必ず照合してください。デバイスは署名するアドレスのみを表示し、送金先が正しいかは判断できません。

  5. 05

    少額テスト送金を確認

    高額送金時は、まず少額を送り、受取人が受領を確認してから同じ宛先を再利用しましょう。

  6. 06

    新規宛先は毎回慎重に判断

    ウォレットが新規や類似アドレスを警告した場合は一度立ち止まり、他の手段で確認しましょう。警告を無視しないでください。

ハードウェアウォレットだけではAddress Poisoningを防げません。

デバイスは署名予定のアドレスを正確に表示しますが、送金先が正しいかは判断できません。承認前に必ず信頼できる情報源と照合しましょう。

署名前に確認

  • 宛先は履歴ではなく信頼できる情報源から取得
  • ネットワークと資産が受取人の想定と一致
  • 信頼できる画面でアドレス全体を照合
  • テスト送金が本来の受取人に届いた

ウォレットソフトができること

警告表示はリスク低減に有効ですが、意図までは判別できません

ウォレットは怪しいパターンを検知し、重要な場面で注意を促すことができますが、新たな攻撃アドレスや本物そっくりの偽アドレスには完全な検出は困難です。

最新の事例

MetaMask

MetaMaskは、宛先が過去の受取人と一致するか比較し、先頭と末尾が同じでも途中が異なる場合は警告を表示します。全く新しい宛先にも注意喚起します。

最新の事例

Trezor Suite

Trezorによると、Suiteは不審なトークン送金を検出し、疑わしい履歴をぼかして未確認として表示します。ハードウェアウォレットは署名するアドレスを示しますが、必ず独立した信頼できる情報源の受取人アドレスと照合してください。

有用な設計パターン

信頼できる宛先を履歴より目立たせる

  • ゼロ送金や怪しいダストを非表示・ぼかし表示
  • 既知の連絡先に似た新規アドレスを警告
  • 認証済み連絡先や許可リストを明確に表示
  • コピーや署名時はアドレス全体を表示

表示方法の提案

ERC-8117は特殊なアドレスパターンを見やすくする提案です

ERC-8117は、先頭にゼロが多いEVMアドレスを見やすくするための簡易表示フォーマット案です。ゼロの数を明示し、似せアドレスの作成コストを上げる狙いがあります。

この提案は宛先確認の代替にはなりませんし、Ethereumの正式標準でもありません。ウォレットやエクスプローラー側の対応も必要です。

状態を確認済み 提案中の仕様 ERC-8117

よくある質問

アドレスポイズニングの履歴があるとウォレットがハッキングされたことになりますか?

いいえ。ゼロ送金やダスト、トークンは許可なく送られることがありますが、シードフレーズや秘密鍵が漏れることはありません。リスクは偽アドレスを今後の送金に使ってしまう点です。

ウォレット履歴から偽の取引を削除できますか?

確定したブロックチェーンの記録は削除できません。ウォレットが怪しい履歴を非表示やぼかし表示する場合もありますが、安全な対応は同じです。無視し、今後の送金先は必ず信頼できる情報源から確認しましょう。

アドレスの最初と最後4文字だけの確認で十分ですか?

いいえ。偽アドレスは短縮表示の文字列に合わせて作られています。途中が違えば全く別の宛先なので、必ず全体を確認するか、認証済みの連絡先を使いましょう。

ポイズニングアドレスに送金してしまった場合は?

追加送金を止め、取引詳細を保存し、送信元ウォレットや取引所に連絡してください。宛先は関係機関や警察にも報告しましょう。オンチェーン送金は原則として取り消せないため、返金保証はありません。

少額テスト送金でアドレスポイズニングは防げますか?

本来の受取人が確認し、同じ宛先を再利用する場合のみテスト送金は有効です。履歴から新たな偽アドレスをコピーしてしまうと意味がありません。

アドレスポイズニングとダスティング攻撃は同じですか?

両者は重なる場合もありますが、意味は異なります。アドレスポイズニングは偽履歴で将来の宛先選択を誘導します。ダストは追跡やスパムなど他の目的でも使われ、必ずしも偽アドレスを伴いません。

さらに学ぶ

ウォレットの他のリスクも理解する

アドレスポイズニングは送金先の選択ミスを狙う手口です。ウォレットセキュリティハブでは、シードや秘密鍵、バックアップ、乱数、署名に関するリスクも解説しています。