[NDレポート] たった一度のクリックで100万ドルが消失、2026年暗号資産フィッシングの脅威

2026年7月9日、暗号資産市場は、たった一度の誤った署名が招く致命的な結果を目の当たりにした。あるトレーダーが悪質なトークン承認に署名した直後、100万ドル相当の資産が盗まれる事件が発生した。今回の事件は、オンチェーン詐欺師が使用する「承認フィッシング」手法の危険性を改めて浮き彫りにした。

2026年現在、このような攻撃手法は高額資産家を狙う最も効果的な手段として定着している。オンチェーン詐欺師は昨年だけで140億ドル以上の収益を上げており、承認フィッシングはその中心にある。専門家は、攻撃者が技術的な脆弱性よりもユーザーの心理的な隙を突くソーシャルエンジニアリング手法をさらに巧妙化させていると警告している。

承認フィッシングの核心は、ユーザーが自身のウォレットにあるトークンを攻撃者が制御できるように権限を付与させることにある。主に「increaseAllowance」関数を呼び出すよう誘導したり、署名だけで権限を譲渡する「Permit」機能を悪用したりする。ユーザーがトランザクションの内容を十分に理解しないまま承認ボタンを押した瞬間、攻撃者は該当するウォレットの資産を無制限に引き出すことができる権限を獲得することになる。

オンチェーン詐欺師は昨年140億ドル以上の収益を上げており、承認フィッシングは依然として高価値資産を狙う彼らの主要な攻撃経路となっている。

攻撃者は、精巧に偽装されたウェブサイトを通じてユーザーのウォレット接続を誘導する。被害者は正規の分散型金融（DeFi）サービスを利用していると錯覚するが、実際には資産奪取のための悪質なスクリプトが実行される。このような手法は、ウォレットのインターフェース上で危険性を認識しにくいように設計されており、熟練したトレーダーでさえ騙されやすい。

2026年のフィッシング環境の変化とAIの脅威

2026年上半期の統計によると、AIベースのフィッシング攻撃は前年比1,380%急増し、セキュリティエコシステムを脅かしている。AIが作成したフィッシングメールの成功率は82.6%に達し、これは人間の専門家が作成したものよりもはるかに高い数値となっている。また、QRコードを利用したフィッシングは400%、音声フィッシングであるボイスフィッシングは442%増加し、マルチチャネル攻撃が主流となった。

• クリーンなデバイスでアカウントのパスワードを直ちに変更し、より強力な認証手段を導入する必要がある。
• ブラウザにインストールされた見覚えのない拡張機能やアプリケーションをすべて削除する必要がある。
• オンチェーンセキュリティツールを使用して、信頼できないコントラクトに付与されたトークン承認権限を直ちに取り消す必要がある。
• メールの転送ルールやアカウント復旧設定に、無断での変更箇所がないか徹底的に確認する必要がある。

これらの攻撃の背後には、高度に熟練した少数の攻撃者が存在し、莫大な利益を上げている。分析によると、最も成功した単一のフィッシングアドレスは約4,430万ドルを奪取しており、これは承認フィッシング被害総額の約4.4%を占めている。上位10件の攻撃アドレスが盗難資産全体の大部分を占めているという事実は、この犯罪の組織的な性格をよく示している。

承認フィッシングによる累積被害額は、現在までに約10億ドルに迫ると推定されている。これは、暗号資産セキュリティインフラの発展にもかかわらず、ユーザー個々のセキュリティ意識が依然として最も脆弱な環であることを示唆している。攻撃者は技術的な脆弱性よりも、ユーザーの心理的な隙を突くソーシャルエンジニアリングの手法をさらに巧妙化させている。

技術的進化と今後の展望

特にデバイスコードフィッシングの拡散は、既存の多要素認証（MFA）体系を無力化しており、懸念を呼んでいる。犯罪プラットフォームの技術的障壁が低くなったことで、初心者の犯罪者でも巧妙な攻撃を実行できる環境が整った。2026年下半期もこのような傾向は続くと見られ、投資家には格別の注意が求められる。

投資家は単なる認証手続きに頼るのではなく、署名するすべてのトランザクションの内容を綿密に確認する習慣を持つべきである。また、定期的にウォレットの承認状況を点検し、不要な権限は直ちに取り消すことが、資産を守る最善の方法である。暗号資産市場の成長に合わせて、セキュリティの脅威も進化していることを肝に銘じておく必要がある。