2025年上半期のブロックチェーン業界のセキュリティインシデント
2025年上半期、ブロックチェーン業界はセキュリティインシデントにより237億ドル以上の損失を被り、特にDeFiセクターが最も大きな影響を受けました。個人ユーザーを狙った詐欺も増加しており、AIがますます巧妙な手口を可能にしています。
SlowMistの中間年次「ブロックチェーンセキュリティとAMLレポート」によると、2025年上半期にブロックチェーン業界は121件のセキュリティインシデントで約23.7億ドルの損失を記録しました。これは2024年の同時期と比較して、インシデントの数が減少したにもかかわらず、金銭的損失が約66%増加したことを示しています。
DeFiとCEXプラットフォームの影響
DeFiは引き続き最も標的にされているセクターであり、すべてのインシデントの76.03%を占め、約4.7億ドルの損失が発生しました。一方、CEXプラットフォームはわずか11件のインシデントで18.83億ドルの損失を被り、攻撃者にとって高価値のターゲットであることが明らかになりました。
詐欺手法の進化
アカウントの侵害がセキュリティインシデントの主な原因であり、次いでスマートコントラクトの脆弱性が続きました。SlowMistの報告書は2025年上半期に特徴的な個人ユーザーを狙ったいくつかの詐欺手法を強調しました。攻撃者は、EthereumのPectraアップグレードで導入されたEIP-7702契約委任メカニズムの新機能を悪用しています。
5月24日、ユーザーはMetaMaskのEIP-7702委任機能を悪用したフィッシング攻撃の犠牲となり、146,551ドルを失いました。この詐欺はInferno Drainerグループによって実行され、ユーザーを合法的に見える契約を承認させ、その後、バルクトークン承認を悪用して資金を奪いました。
生成AIによる新たな詐欺の波
生成AIの急速な進展は、「信頼に基づく詐欺」の新たな波をもたらしました。2025年初頭、ディープフェイクを使用した偽のZoomミーティングが、Hypersphere VenturesのパートナーであるMehdi Farooqからすべての暗号資産を盗む結果となりました。攻撃者は既知の連絡先を装い、彼をマルウェアをダウンロードさせるように仕向けました。
他の著名なケースには、Elon Muskやシンガポールの公務員が偽の投資スキームを宣伝するAI生成のビデオが含まれます。これらの詐欺は、ユーザーをクリップボードから悪意のあるコードを実行させるように仕向けます。
フィッシング攻撃の手法
2025年には、LinkedInを利用したフィッシングが急増し、攻撃者はブロックチェーンスタートアップを装ってエンジニアを誘い、技術テストを装ったマルウェアをダウンロードさせました。詐欺師はプロフェッショナルなプロジェクト概要や設計文書を共有し、最終的に被害者を重度に暗号化された悪意のあるペイロードを含むリポジトリに送信しました。
一度実行されると、これらのバックドアはホスト情報、資格情報、SSH秘密鍵、システムのKeychainデータを盗みます。
悪意のあるnpmパッケージのリスク
公式でないチャネルを通じて「高度なAIモデルへの無制限アクセス」を求める開発者は、ローカルアプリケーションに深刻な改ざんを加える悪意のあるnpmパッケージをインストールするリスクがあります。SlowMistは、スタートアップがこのようなツールによって生成された悪意のあるコードにより数十万ドルを失ったケースを指摘しました。
攻撃者はリモート制御と資格情報の盗難を行い、主にmacOS上の4,200人以上の開発者が影響を受けました。
悪用される生成AIツール
SlowMistの報告書は、元のバージョンの倫理的制限を回避するために「脱獄」された複数のLLMを強調しています。WormGPTはマルウェア関連のコンテンツやフィッシングメールを生成することに特化しており、FraudGPTは偽の暗号プロジェクト資料やフィッシングページのクローンを生成できます。
これらのツールは、取引所の幹部を装ったディープフェイク詐欺を作成することができるなど、他の悪意のある用途にも使用されます。
