アドレスポイズニングとは？2026年に仮想通貨を守る対策とTangemの防御策

2024年、アドレスポイズニング攻撃によって1つのウォレットから約$71 million相当のWBTCが盗まれました。怪しいリンクも、シードフレーズの流出もありません。多くの人がやっている通り、取引履歴からアドレスをコピーして送金しただけで、送金先がハッカーのアドレスだったのです。この攻撃の特徴は、被害者側に特別なミスや技術的な過失がなくても成立する点にあります。つまり「習慣」を突かれるのです。

Address poisoning crypto攻撃は、公開された取引履歴や偽装アドレス、履歴からアドレスをコピーする習慣を悪用します。本記事では、攻撃の仕組みやリスクが高いユーザーの特徴、そして今日から実践できる具体的な対策を解説します。アドレスポイズニングを防ぐには、取引履歴からアドレスをコピーしないこと、アドレス帳の利用、宛先アドレス全体の確認、大きな金額を送る前のテスト送金が重要です。

アドレスポイズニング攻撃の仕組み

この攻撃は3つの段階で進行します。それぞれの流れを理解することが、リスク回避の最短ルートです。

仕込み：バニティアドレスの生成

vanity address（バニティアドレス）とは、特定の文字列で始まるように繰り返し生成された通常のブロックチェーンアドレスです。生成自体は見た目だけの違いで、キー生成を何度も繰り返し、希望するプレフィックスが出るまで続けます。こうして一見本物そっくりなアドレスが作られます。

攻撃者はこれを使い、過去に送金したアドレスの先頭と末尾が一致するfake crypto address（偽アドレス）を作成します。例えば本物のアドレスが0xA3f9...7c82なら、攻撃者の偽アドレスは0xA3f1...7c82のように非常に似せてきます。違いが分かりますか？多くの人は、ウォレットのUIで中央が省略されると気づけません。

毒入りトランザクション

偽アドレスができたら、攻撃者はそのアドレスからあなたのウォレットへzero-value transfer（ゼロ額またはごく少額の送金）を実行します。これがstep for the zero-value transfer attackです。多くのチェーンで手数料はほぼ無視できるほど安価。あなたが何か操作する必要はありません。

こうして「毒入り」のアドレスが、正規の送金履歴のすぐ隣に表示されます。

罠が発動する瞬間

次に同じ相手へ送金する際、取引履歴からアドレスをコピーします。そのとき間違ったアドレスを選んでしまい、資金が攻撃者の元へ送られてしまいます。

これがtransaction history attack cryptoの本質です。履歴を信頼する「習慣」だけで成立し、特別な知識や技術は必要ありません。

Real-world scale: 実際に複数の被害者が、取引履歴からコピーしたことで$100,000以上を失っています。2024年には一度の攻撃で$71 million相当のWBTCが盗まれました。

リスクが高いユーザーの特徴

全員が等しく狙われるわけではありません。攻撃者はオンチェーンの行動を分析し、高額取引者をターゲットにします。

同じアドレスへ繰り返し送金している場合、リスクが高まります。一定のパターンがあると、攻撃者は「頻繁に使われる宛先」を特定し、正規送金直後に毒入りトランザクションを仕掛けます。

copy-paste from transaction history（履歴からコピー）を使う人も狙われやすいです。これが最も多い被害パターン。履歴タブは一見信頼できそうですが、実際は攻撃者が偽アドレスを紛れ込ませることができます。

送金前に宛先アドレス全体を確認しない場合もリスクが高いです。攻撃者は先頭と末尾だけ一致させたアドレスを作るので、6文字ずつしか見ていないとすり替えに気づけません。

複数のウォレットを使い、資金を頻繁に移動している場合も要注意。履歴が増えるほど、毒入りアドレスが紛れやすくなり、送金時の確認負担も増します。共通点は、crypto address spoofing（アドレスなりすまし）が「確認したつもり」と「実際に確認したこと」の隙間を突く点です。

実践できる5つの予防ルール

次の5つのルールを徹底すれば、各段階で攻撃を防げます。

Rule 1: Never copy from transaction history.

ウォレットのアドレス帳や連絡先機能を使いましょう。履歴タブは「過去に出現したアドレス」を表示するだけで、検証済みとは限りません。攻撃者はあなたの知らないうちに偽アドレスを履歴に紛れ込ませることができます。アドレス帳には自分で保存したものしか含まれません。

Rule 2: Verify the FULL address.

先頭と末尾だけでなく、すべての文字を確認しましょう。ブロックエクスプローラーで宛先アドレスを検索し、取引履歴が想定通りかを確認します。各ブロックチェーンごとに公式のエクスプローラーがあるので、利用するネットワークに合ったものを使ってください。

Rule 3: Send a test transaction first.

高額送金時は、まず$1程度のテスト送金を実施し、相手が受け取ったことを確認してから本送金を行いましょう。ブロックチェーンの取引は一度確定すると取り消せません。チェーンによっては未確定状態で置き換えが可能な場合もありますが、最初の送金前に必ず宛先を確認するのが安全です。

Rule 4: Use an address book in your wallet.

検証済みアドレスをラベル付きで保存し、送金時は履歴からコピーせず、アドレス帳から選択しましょう。一度保存した宛先には再入力や再コピーをしないのが鉄則です。

Rule 5: Check the source of any dust.

身に覚えのない極少額の入金（ダスト）を受け取った場合、その送信元アドレスは絶対に利用しないでください。ダストは罠です。送金や返信をすると、攻撃が成立してしまいます。

Tangemによるアドレスポイズニング対策

Tangemを含むどのウォレットでも、パブリックチェーン上でダスト送金自体を防ぐことはできません。誰でも任意のアドレスにzero-value transferを送ることができるため、これはプロトコル上の仕様です。ただしTangemは、攻撃に引っかかりにくい構造的な仕組みを備えています。

Tangemハードウェアウォレットの多層防御

Address Verification on Every Transaction

すべての送金時に、Tangemアプリが宛先アドレス全体を表示し、目視で確認できます。物理カードのタップが必須となるため、ソフトウェアウォレットと異なり、送金前に意識的な確認の時間が生まれます。アプリで送金を開始→未署名データ生成→カードタップ→セキュアエレメントが内部で署名→アプリが送信、という流れで、秘密鍵は一切ネット接続端末に触れません。ここで重要なのは、鍵の隔離よりも「タップ前の必須確認」という人間によるチェックポイントがあることです。

Address Book Integration

Tangemのアドレス帳機能では、よく使う宛先をラベル付きで保存し、履歴からコピーせず選択できます。検証済みアドレスのみが使われるため、履歴タブに何が表示されていても影響を受けません。手入力やQRコード読み取りにも対応し、履歴依存を排除しています。

Hardware-Enforced Confirmation

仮に毒入りアドレスがワークフローに紛れ込んでも、物理カードタップが最終確認ポイントとなります。アプリ画面でアドレスを確認し、間違いがないか見てからタップ。これがなければ送金は実行されません。Tangem Mobile Walletでは、誤タップ防止のための長押し確認（v5.35以降）も導入されています。

One honest limitation: アプリのUIが検証レイヤーとなるため、タップ前にアドレス全体を読む工程は必須です。これ自体が最大の防御策となります。

Using Tangem to Avoid Address Poisoning

• 定期的な送金先は必ずTangemのアドレス帳に保存しましょう。
• カードをタップする前に、アプリに表示されるアドレス全体を一文字ずつ確認してください。
• 履歴に表示されるアドレスが保存済みの連絡先と異なる場合、必ず原因を調べてから送金してください。

誤送金後にすべきこと

スピードも大切ですが、まずは重要な現実を受け入れる必要があります。

確定した仮想通貨の送金は取り消せません

一度確定したブロックチェーントランザクションはキャンセルできません。ビットコインでは3〜6回の承認が最終確定とされ、標準的な10分ごとのブロックタイムで約1時間かかります。イーサリアムでは12秒ごとのブロックタイムで数分で確定します。すでに承認済みの場合、技術的には資金を取り戻すことはできません。

それでも、やるべき対応はあります。

Document the transaction hash immediately. TXID（トランザクションID）は公開情報で、特定の送金を一意に記録します。金額・送信元・宛先・手数料・ステータスなどが記録され、ウォレットのアクセス権は明かされません。ウォレットやエクスプローラーからコピーし、安全な場所に保管しましょう。TXID自体の共有は問題ありませんが、秘密鍵やシードフレーズは絶対に漏らさないでください。

Report to your exchange if the destination was an exchange address. ほとんどの攻撃者は非カストディアルアドレスを使いますが、もし送金先が取引所のアドレスだった場合は、すぐに取引所のコンプライアンスやサポートにTXIDやタイムスタンプ、アカウント情報を添えて連絡しましょう。

File a report with your local cybercrime authority. 米国ならFBIのIC3、英国ならAction Fraudなど、各国のサイバー犯罪窓口に通報しましょう。資金回収につながるケースは稀ですが、被害情報が蓄積されることで大規模な犯罪の追跡に役立ちます。

The honest answer: 資金回収は非常に困難です。予防こそが最大の防御策です。

安全な習慣：「タップ前に必ず確認」

Address poisoning crypto攻撃は、高度なハッカーや不注意な被害者が必要なわけではありません。履歴からコピーする「いつもの習慣」だけで成立します。2024年の$71 million WBTC流出も、複数の$100,000超被害も、履歴コピーが原因でした。対策は「行動」と「仕組み」の両面です。アドレス帳を活用し、毎回宛先全体を確認し、身に覚えのないダストは警告と捉えましょう。高額送金前には必ずテスト送金を。

Tangemのハードウェアウォレットは、これらの防御策を標準搭載しています。履歴コピーを排除するアドレス帳、タップ前の全アドレス表示、物理的な確認ステップ。プロトコルレベルで攻撃を完全に防ぐことはできませんが、攻撃が依存する「習慣」を根本から変える設計です。「自分で毎回確認する」のではなく、「確認せざるを得ない」仕組みを求めるなら、Tangemが最適です。ご注文はtangem.comから。