イーサリアムユーザー、999,999 USDTを失う

イーサリアムユーザーが、悪意のある承認リクエストに署名したことで999,999 USDTを失った。Etherscanのデータによると、資金は3件のトランザクションに分割され、署名からわずか数分以内にウォレットから送金された。被害者の身元は公表されていない。

今回の事件では、攻撃者はパスワードや秘密鍵を盗んだわけではない。代わりに、ユーザーをだまして署名させることで、悪意のあるスマートコントラクトにウォレット内のUSDTを管理する権限を与えた。

これはイーサリアムの重要な仕組みの一つだ。署名は単一の取引を承認するだけではなく、特定のトークンを後から所有者の追加承認なしで利用できる権限をアプリケーションへ付与する場合もある。

被害者は以前、USDTに対して無制限の利用許可（Unlimited Approval）を設定していた。偽の承認リクエストに署名すると、攻撃者はその権限を直ちに悪用し、保有していたUSDTをすべて自身のウォレットへ送金した。犯人は複数の操作を1回のトランザクションで実行できるMulticall機能を利用し、資金は即座に3つに分割されて送金された。

秘密鍵が漏えいしたわけではなかったため、一般的なウォレットのセキュリティ機能は不正を検知できなかった。ウォレット側から見れば、すべて所有者本人が承認した正当な取引として処理されたためだ。

今回のケースは、古いトークン承認がフィッシングサイトをクリックするのと同じくらい危険であることを改めて示している。こうした権限は、ユーザー自身が手動で取り消さない限り有効なままとなる。

このような詐欺は現在も繰り返し発生している。2026年5月には、Uniswapを装った偽サイトによって複数のウォレットから約40万ドルが盗まれた。今月には、HyperSwapユーザーが偽のエアドロップを承認したことで資金を失った。また、1月にはOpenClawトークンに関連するフィッシングキャンペーンが、二要素認証を装った偽メッセージを利用してユーザーをだましていた。

ウォレット開発者は警告機能の強化を進めているものの、最も重要なのは、署名する前にどのような権限を付与しようとしているのかを必ず確認することだ。