事件の概要
2025年9月8日、仮想通貨業界に深刻なセキュリティインシデントが発生しました。
Node.jsのパッケージ管理プラットフォーム「NPM」において、悪意のあるコードが複数の人気パッケージに混入し、仮想通貨のオンチェーン送金先が不正に書き換えられるリスクが報告されました。
この事件は、Ledger社のCTOであるチャールズ・ギレメ氏によって公表され、被害の規模と潜在的リスクの大きさから、サプライチェーン攻撃としては過去最大級とも言われています。
攻撃の手法と技術的特徴
NPMパッケージの乗っ取り
攻撃者は、有名開発者のNPMアカウントを乗っ取ることで、「error-ex」や「chalk」「strip-ansi」など、JavaScriptエコシステムで広く使用されているパッケージに悪意あるコードを挿入しました。
これらのライブラリは、週に数億回ダウンロードされていることから、被害の可能性は全世界に広がっています。
ウォレット送金先の改ざん
不正コードは、ユーザーの送金処理を監視し、入力された送金先アドレスを攻撃者が管理するウォレットアドレスにすり替えるという手法を採用しています。
外見上は正常な処理に見えるため、ユーザーが気付かないまま送金してしまう危険性があります。
表示と実体の乖離を利用
ウォレット画面に表示される送金先と、実際にブロックチェーン上で実行される送金先が異なる状態を作り出すことで、ユーザーの目を欺く高度な攻撃が可能になります。
これは、オンチェーン処理の透明性を逆手に取った手法であり、確認作業だけでは防ぎきれないことが問題視されています。
専門家の見解と対策の提案
ハードウェアウォレットの活用
Ledger社のCTOは、ソフトウェアウォレットのみでオンチェーン送金を行うことを控えるべきだと警告しています。
代わりに、ハードウェアウォレットを用いて物理的に確認可能な画面で送金内容をチェックすることが有効だとしています。
開発プロジェクト側の対応
不正コードは一部削除されていますが、依存関係を通じて攻撃が残存している可能性があります。
そのため、開発者にはプロジェクト単位でのライブラリ監査や依存関係の見直しが強く求められています。
依存ライブラリのロックファイル（package-lock.jsonなど）の確認も必要です。
各ウォレットサービスの対応状況
Phantom
Phantomは該当するパッケージを一切使用しておらず、影響はないと明言しています。
MetaMask
MetaMaskは、複数のセキュリティ層を活用しており、不正コードによる被害のリスクはないとしています。今後も引き続き警戒を強める方針です。
その他ウォレット
Uniswap、OKX Wallet、Suiなど他の主要ウォレットも同様に、今回の攻撃による影響は受けていないとの見解を発表しています。
オンチェーン犯罪の広がり
ブロックチェーン分析企業のChainalysisによれば、2024年の時点で不正アドレスが受け取った仮想通貨は409億ドルに達しています。
今後の調査により、さらに増加し、500億ドルを超える可能性もあると指摘されています。
オンチェーンでの取引は追跡可能である一方、スマートコントラクトやライブラリレベルでの改ざんには対応しきれない現状もあり、不正利用の温床となっています。
まとめ
今回の事例は、オープンソースの利便性と透明性が、同時に重大な脆弱性となり得ることを示しています。
特にサプライチェーン攻撃は、表面的なセキュリティ対策では防ぐことが難しく、開発者・ユーザー双方にリスクを認識させる必要があります。
仮想通貨やブロックチェーンの「自己責任」的な文化もあり、ユーザーのセキュリティ意識が問われる場面が増えています。
しかし、今回のように外見上は正常に見える攻撃は、確認作業だけでは不十分であり、構造的な防御策の整備が不可欠です。
個人的には、以下の3点が特に重要だと考えています。
- ハードウェアウォレットによる取引内容の物理的確認を標準化すること
- パッケージの依存関係の透明化と、監査機能の充実
- ユーザー教育と、ソフトウェア開発者のセキュリティトレーニングの義務化
今後のWeb3.0社会において、安全性と利便性の両立をいかに実現するかが、業界の持続的な成長の鍵を握るといえるでしょう。
仮想通貨は以下の取引所で購入できます！
bitbankの登録はこちらから
