本記事にはアフィリエイト広告（PR）を含む場合があります。
秘密鍵を誰にも教えていないのに、資産が一瞬で見知らぬ宛先へ移ってしまう。アドレスポイズニング攻撃は、そういう性質の被害です。ウォレットを乗っ取る攻撃ではありません。狙われるのは鍵ではなく、あなたの取引履歴そのものです。
「送金先はいつも履歴からコピーしている」「アドレスの最初と最後は必ず見ている」。そう考えている人ほど、この手口の射程に入ります。ここでは、攻撃者がどうやって履歴に偽アドレスを紛れ込ませるのか、なぜ人間の目では見分けられないのか、そして送金前の数十秒で防ぐ手順を順に整理します。
読み終えるころには、送金画面で何を見るべきかが自分の手順として固まり、送信ボタンを押すたびの「本当にこの宛先で合っているだろうか」という不安が消えているはずです。主要ウォレットの公式ドキュメントとブロックチェーンエクスプローラの表示仕様を突き合わせ、実際の画面で何が見えて何が省略されるのかを確認したうえでまとめました。順に見ていきましょう。
日本円の入出金に対応した国内の登録業者なら、送金や積立まで一つの口座で完結します。口座開設と維持の費用はかからず、取扱銘柄や手数料体系は公式サイトで確認できます。
GMOコインの口座開設ページを見る →PR・GMOコイン（GMOコイン株式会社）。手数料や取扱銘柄は変更されることがあるため、最新の内容は公式サイトでご確認ください。暗号資産は価格変動が大きく、投資判断はご自身の責任でお願いします。アドレスポイズニング攻撃とは何か
アドレスポイズニングとは、被害者の取引履歴に本物とよく似た偽のアドレスを混ぜ込み、次の送金のときにそれをコピーさせて資産を奪う手口です。「毒を盛る」対象がウォレットではなく履歴一覧である、と理解すると全体像がつかめます。
ブロックチェーンの取引履歴は、送る側が一方的に書き込めます。受け取る側の許可は要りません。攻撃者はあなたのアドレス宛に手数料程度の極小額や、価値のない独自トークンを送りつけるだけで、あなたのウォレット画面と履歴に自分の用意したアドレスを表示させられます。これが下準備です。
なぜ「そっくりなアドレス」が作れるのか
アドレス全体を一致させることは、現在の計算力では現実的ではないとされています。しかし、先頭数文字と末尾数文字だけを一致させるのであれば話は別です。条件を満たすまで鍵の組を大量に生成し続ける「バニティアドレス生成」という手法があり、部分一致であれば比較的短い時間で作れると一般に説明されています。攻撃者は狙った相手が常用している宛先を見て、その形に寄せた鍵を用意します。
結果として履歴には、先頭が同じ、末尾も同じ、文字数も同じという文字列が並びます。違うのは真ん中だけです。
秘密鍵は盗まれていない
この攻撃で最も厄介なのは、技術的には何も破られていない点です。送金に署名するのは本人ですから、ウォレットは警告を出しません。取引所の出金審査も、宛先が正しい相手かどうかまでは判断しません。そして一度確定した送金は取り消せません。手口全体の構造は仮想通貨詐欺の見分け方と共通する部分が多いので、あわせて押さえておくと整理しやすくなります。
典型的な手口を5つの段階で追う
- 攻撃者がブロックチェーン上を監視し、同じ宛先へ繰り返し送金しているアドレスを見つける
- その宛先に似せた偽アドレスを、バニティ生成で用意する
- 偽アドレスから被害者へ、極小額の送金や無価値なトークンを送りつける
- 被害者の履歴に、本物のすぐ近くへ偽アドレスが並ぶ
- 次の送金のとき、被害者が履歴から誤ってコピーし、まとまった額を偽アドレスへ送ってしまう
3の段階までは実害がひとつも出ていないため、警戒のきっかけがありません。損失が発生するのは、被害者自身が送金操作を完了させた瞬間です。この「本人が正常に操作している」という一点が、通常のハッキングとの決定的な違いになります。
なぜ人間の目はすり抜けてしまうのか
注意力の問題ではありません。見分けにくくなる条件が、送金画面のほうに揃っています。
- 画面がアドレスを中略表示する：多くのウォレットやエクスプローラは、長いアドレスを「0x1a2b…9f8e」のように省略して表示します。省略されるのは、まさに本物と偽物が食い違う中間部分です。
- 人の照合は端に偏る：文字列を確認するとき、私たちは無意識に先頭と末尾を手掛かりにします。攻撃者はその癖を前提に、端だけを一致させています。
- 送金が「作業」になっている：普段どおりの操作を普段どおりの速さで行うほど、確認は形だけになります。慣れは効率を上げますが、同時に検査の工程を飛ばさせます。
つまり、目視での照合を前提にした運用は、はじめから分が悪いということです。仕組みで防ぐ方向へ切り替える必要があります。
送金前に身につけたい3つの習慣
1. 履歴からアドレスをコピーしない
これが最も効果の大きい対策です。アドレスの取得元を、履歴ではなく相手から受け取った一次情報に固定します。取引所への入金なら取引所の入金画面から、個人宛なら相手と共有しているメモやアドレス帳から取る、と決めてしまいます。取得元さえ履歴でなければ、毒を盛られた履歴は無害な表示に過ぎません。
ウォレットや取引所の出金アドレス帳（ホワイトリスト）機能も有効です。国内取引所では、たとえばbitbankのように出金先を事前登録しておける仕組みが用意されています。詳しい対応状況は各社の公式情報をご確認ください。
2. 中間の文字列とネットワークを確認する
それでも手入力やコピーで運用する場合は、確認する箇所を変えます。先頭4文字と末尾4文字ではなく、真ん中あたりの連続した数文字を選んで突き合わせるだけで、この手口の前提は崩れます。あわせて、送るネットワークが正しいかも同じタイミングで見ておきます。
3. まとまった額はテスト送金から始める
初めての宛先や久しぶりの宛先には、まず少額を送って着金を確認してから本命を送ります。ネットワーク手数料は必要になりますが、失う可能性のある金額と比べれば安い保険です。ウォレットの基本的な扱いに不安があるなら、仮想通貨の始め方ガイドで送受金の流れを一度おさらいしておくとよいでしょう。
もし送ってしまったら
残念ながら、確定した取引を取り消す方法はありません。できるのは二次被害を止めることです。まず、そのウォレットからの追加送金を止め、原因が誤コピーなのか別の侵害なのかを切り分けます。宛先が取引所のアドレスだった場合に限っては、当該取引所への申告で対応の余地が残ることがあります。
そのうえで注意したいのが、被害の直後に接触してくる「資金を取り戻せます」という連絡です。前払いを求めたり、復元フレーズの入力を促したりするものは、被害者だけを狙った二次的な詐欺と考えて差し支えありません。取引のハッシュや日時のスクリーンショットを保存し、必要に応じて相談窓口へ持ち込む形が現実的です。
よくある質問（FAQ）
身に覚えのない少額入金や不明なトークンが届いています。乗っ取られたのでしょうか？
届いただけであれば、ウォレットが侵害されたことにはなりません。受け取りに承認は不要なので、誰でも一方的に送りつけられるためです。ただし、あなたのアドレスが攻撃者のリストに載っている可能性は高いと考え、以後の送金では取得元の固定と中間文字列の確認を徹底してください。
届いた不明なトークンは、売却や移動をしてもよいですか？
触らないのが基本です。無価値なトークンを換金しようとして接続した先が偽サイトだった、というつなぎ方が知られています。多くのウォレットには不要なトークンを非表示にする機能があるので、まず視界から消す対応で十分です。
ハードウェアウォレットを使えば防げますか？
署名のたびに手元の端末画面で宛先を確認できる点は明確に有利で、確認の工程が仕組みとして挟まります。一方で、本人が偽アドレスを正しいものと信じて承認すれば送金は成立するため、これだけで無効化できる攻撃ではありません。機器の選び方はハードウェアウォレットの選び方で整理しています。
アドレスに名前を付ける仕組みを使えば安全ですか？
読める名前で送金できるため、文字列の見間違いという入り口は減ります。ただし、名前そのものを似せた登録も可能なので、置き換わるのは危険の種類であって、確認が不要になるわけではありません。初回は必ずテスト送金を挟む運用を続けてください。
免責事項：本記事は一般的な情報提供を目的としており、投資助言ではありません。最新の情報は公式情報をご確認ください。
