仮想通貨クジラがハッキングされ2,730万ドルを盗まれる

仮想通貨の大口投資家が、1対1のマルチ署名ウォレットの脆弱性を突かれ、2,500万ドル以上のデジタル資産を流出させられ、資金を失ってしまった。

ブロックチェーンセキュリティ企業PeckShieldは木曜日にXに関する警告を発し、約2,730万ドルのハッキング被害に遭ったと報告した。Etherscanのデータによると、盗まれた資金はオンチェーンプライバシーツールTornado Cash を通じて100ETHずつ送金されている。

#PeckShieldAlert ある大口投資家のマルチシグが、秘密鍵の漏洩により約2730万ドルを不正に引き出しました。

1,260 万ドル (4,100 ドル ETH) #TornadoCash 、約 200 万ドルの流動資産を保有しています。

ドレイナーは被害者のマルチシグも制御し、レバレッジの効いたロングポジションを維持します… pic.twitter.com/1Ulk4X7bkl

— PeckShieldAlert (@PeckShieldAlert) 2025年12月18日

PeckShieldによると、攻撃者は秘密鍵を掌握し、マルチシグウォレットの唯一の署名者となった。アクセスを獲得すると、資金流出者はmaticに資産をtracし、オンチェーン上で資金洗浄を開始した。

マルチシグウォレットのハッカーは盗まれた資金のうち200万ドルをまだ保有している

PeckShieldによると、アドレス0x1fCf…367d23Acを使用している攻撃者は、Tornado Cashを通じて既に約1,260万ドル（4,100イーサ相当）をロンダリングしている。同社はさらに、報告時点で確認されたウォレット残高に基づき、攻撃者は依然として約200万ドルの流動資産を保有していると付け加えた。

複数のセキュリティアナリストは、攻撃者が被害者のマルチシグウォレットを掌握しており、その Aave。このウォレットには、約1230万ドル相当のDAIを借り入れる担保として、約2500万ドル相当の イーサリアム が保管されていると報じられている。

PeckShieldが公開した攻撃者のアドレスには、イーサ、ラップドイーサ、OKB、Trust Wallet Token、Bitfinex LEO、Fetch、Nexoが保管されています。攻撃者はこれまでに、盗んだイーサをTornado Cash に均等に4,100イーサずつ41回のトランザクションに分けて入金しており、合計4,100イーサとなっています。

水曜日の夜遅く、オンチェーン調査員のスペクター氏は、 にした による損失総額がdent 3800万ドル近くに達したと述べた。

Specter氏によると、被害者は2025年4月11日7時48分11秒に、1-of-1システムとして構成されたマルチシグネチャウォレットを作成しました。ウォレットに資金を移動した直後、署名者として指定されたメインウォレットから8時23分23秒に大規模な流出が発生しました。

侵害の正確な原因は不明ですが、スペクター氏は、マルチシグウォレットの設定プロセス中に秘密鍵が漏洩した可能性があると示唆しました。また、被害者がマルチシグウォレットの作成時に悪意のある人物の支援に頼っていた可能性も指摘されています。

分析プラットフォームOnchainlensの tracによると、クジラ0xde5f44…b051e965は5月に顕著な損失を被っており、この投資家は当時約452万ドル相当の2,520.5イーサをOKXから引き出し、Kiln Financeにステーキングしていたことが判明した。

このクジラは、この1年間で合計9,918イーサ（7月時点で2,258万ドル相当）をステーキングしたと報じられています。ステーキング報酬として105.5イーサを獲得したにもかかわらず、最新のエクスプロイトが発生する前までに、約426万ドルの純損失に直面していました。

マルチシグウォレットは、必要な署名者閾値を満たさなければハッキングされる可能性がある。

暗号通貨コミュニティのほとんどのメンバーは、 マルチシグウォレットの セキュリティを重視しています。これは、トランザクションを実行する前に2つ以上のエンティティからの承認が必要となるためです。こうしたタイプのウォレットの構成には、2-of-3や3-of-5といったシステムがあり、システムの最初の数字は、スワップやトレードを承認する必要があるキーホルダーのしきい値を表します。 

しかし、1-of-1のような、署名者が1人しか必要としない構成では、マルチ署名保護の主な利点が損なわれます。このような場合、単一の鍵の侵害が完全な損失につながる可能性があり、これはwhale 0xde5f44…b051e965のケースで発生したようです。 

今年9月に発生した別の事例では、dentの暗号資産投資家が、悪意のあるtracを知らずに承認したことで300万ドル以上を失いました。ブロックチェーン調査員のZachXBT氏は、自身のTelegramチャンネルでこのdent について報告し、被害者のウォレットから304万7000ドル相当のUSDCが流出し、Tornado Cash経由でイーサリアムに交換されたことを明らかにしました。

SlowMistの創設者であるYu Xian氏は後に、この事件で侵害されたアドレスは2-of-4 Safeマルチシグウォレットだったと説明した。さらに、不正なtracは実際のアドレスの最初と最後の文字を模倣していたため、詐欺行為の検知が困難だったと述べた。 

攻撃者はSafe Multi Sendの仕組みも悪用し、悪意のある承認を通常の承認の中に隠蔽しました。「この異常な承認は標準的な承認ではなかったため、検出が困難でした」とXian氏はXに記しています。