暗号資産ウォレットのセキュリティインシデント一覧
2026-10-25時点で、2018年以降に人気のセルフカストディ型ウォレットとその利用者に影響したセキュリティインシデント60件を掲載しています。内訳には、ハッキング・エクスプロイト・公表された脆弱性20件と、サプライチェーン攻撃5件が含まれます。利用者の損失の大半は、ウォレットの暗号技術の破綻ではなく、フィッシング、ドレイナー、偽アプリによるものです。
概要
- ウォレット関連で最大規模のインシデントは何ですか？
- Safe{Wallet}（Bybit） (2025-02, ~$1.5B); Profanityのバニティアドレス（Wintermute） (2022-09, ~$160M); Coldcard（Coinkite） (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- 最新のインシデントは何ですか？
- 2026-10-09: Ledgerが正規販売店として掲載していた東南アジアの販売業者CryptoBilisを通じて販売されたLedgerデバイスに、セットアップ時に24単語のフレーズを読み取り、セルラー（LTE）モジュール経由で外部に送信する隠しインプラントが仕込まれていました。Ledgerは10月10日付の声明でインプラントの存在を認めました。CryptoBilisは販売を停止し、Ledgerは同店のデバイスの所有者に対し、新しいシードを使った新しいデバイスへ資金を移すよう呼びかけ、10月13日にはアジア7市場の販売業者に在庫の撤去を要請しました。MediaMarktSaturnもLedger製品の販売を停止しました。Ledgerのドキュメントによると、Genuine Checkはセキュアエレメントを検証するもので、物理的な改造は検出できません。
- 最も重要な教訓は何ですか？
- 損失の多くは、ウォレットの暗号技術の外側で始まります。フィッシングサイト、偽アプリ、悪意のある承認、侵害されたサプライチェーンなどです。ダウンロードしたものを確認し、シードフレーズは決してウェブサイトに入力せず、署名する内容を必ず確認してください。
タイムライン
| 日付 | ウォレット | 種類 | 報告された損失額 | 概要 | 出典 |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | サプライチェーン | ~$86M–$93M | Ledgerが正規販売店として掲載していた東南アジアの販売業者CryptoBilisを通じて販売されたLedgerデバイスに、セットアップ時に24単語のフレーズを読み取り、セルラー（LTE）モジュール経由で外部に送信する隠しインプラントが仕込まれていました。Ledgerは10月10日付の声明でインプラントの存在を認めました。CryptoBilisは販売を停止し、Ledgerは同店のデバイスの所有者に対し、新しいシードを使った新しいデバイスへ資金を移すよう呼びかけ、10月13日にはアジア7市場の販売業者に在庫の撤去を要請しました。MediaMarktSaturnもLedger製品の販売を停止しました。Ledgerのドキュメントによると、Genuine Checkはセキュアエレメントを検証するもので、物理的な改造は検出できません。 | cryptoslate.com |
| 2026-10-01 | MetaMask | その他 | — | MetaMaskは、インフラの一部に影響する「進行中のセキュリティインシデント」を公表し、予防措置として非カストディ型ステーキングサービスのバリデーター（10月7日までに退出完了予定とされたLido内のバリデーターを含む）の退出を開始しました。ウォレットや顧客資金が影響を受けた証拠は見つかっていないとし、原因は明らかにしていません。 | thehackernews.com |
| 2026-09-09 | Trezor | フィッシング | — | 攻撃者はTrezorのメールマーケティング事業者Brevoに侵入し、[email protected]から、架空のSTM32「マイクロコントローラーの脆弱性」に関するフィッシングメールを送信しました。メールはシードフレーズを盗むページに誘導するものでした。Trezorは約20分以内にそのドメインを停止させ、Brevoのアカウントを停止し、Trezorの他のシステムには影響がなかったと説明しました。 | bleepingcomputer.com |
| 2026-08-16 | SafePal | データ漏えい | — | 攻撃者はSafePalのオンラインショップで使われていた注文追跡プラグインの認可の欠陥を悪用し、2025年3月から2026年4月までの注文について、氏名、メールアドレス、電話番号、配送先住所、注文内容を取得しました。シードフレーズや鍵は漏えいしていません。SafePalは欠陥を修正し、外部のセキュリティ企業を起用し、30以上のフィッシングサイトを閉鎖させました。 | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet（ブラウザ拡張機能） | 脆弱性 | — | 研究者V12は、Rabby拡張機能の「サイレント署名抽出」の欠陥を報告しました。自動ロックのタイマーが10分に設定されている場合、利用者が接続済みの悪意あるサイトが、確認画面なしで署名を取得できるというものです。Rabbyは2026年8月11日に修正を公開し、モバイルアプリは影響を受けないこと、既知の悪用はないことを明らかにしました。 | techflowpost.com |
| 2026-08-10 | Trezor | データ漏えい | — | Trezorの物流事業者ShipMonkがMetabaseの脆弱性を突かれて侵害され、2026年5月10日から8月8日までの注文の氏名、メールアドレス、電話番号、配送先住所が流出しました。9月7日、Trezorは、ShipMonkがデータを削除していなかったため、2019年11月から2021年8月までに注文した米国の顧客67,000人のデータも流出したと発表しました。Trezorは自社のシステムとデバイスは侵害されていないとし、二次的なフィッシングへの注意を呼びかけました。 | bleepingcomputer.com |
| 2026-07-30 | Coldcard（Coinkite） | 脆弱性 | ~$116M | Coldcardファームウェア4.0.1（2021年3月）にさかのぼるビルド設定の誤りにより、影響を受けるMk2/Mk3、程度は低いもののMk4、Mk5、Qのファームウェアで、シードがハードウェアのエントロピー源ではなく弱いソフトウェアRNGから生成され、総当たりで突破できる状態になっていました。盗難は2026年7月30日に始まりました。Coinkiteは7月31日に修正版ファームウェア（Mk3 4.2.0、Mk4/Mk5 5.6.0、Q 1.5.0Q）を公開し、影響を受けたシードの所有者に新しいシードを作成して資金を移すよう求めました。このアップデートが保護するのは新しいシードのみです。 | trmlabs.com |
| 2026-07-24 | Sparrow Wallet（なりすまし） | 偽アプリ | ~$1.8M | 3人の利用者が、偽の「Sparrow Wallet」iOSアプリ（本物のSparrowにはiOS版がありません）によって2025年半ばにシードフレーズとビットコインを盗まれたとして、カリフォルニア州の連邦裁判所でAppleを提訴しました。Appleは訴訟へのコメントを控えましたが、現在App StoreにSparrow Walletの模倣アプリは存在しないと説明しました。 | decrypt.co |
| 2026-06-03 | Trezor（Safe 7、TROPIC01チップ） | 脆弱性 | — | LedgerのDonjonは、Trezor Safe 7に搭載されたセキュアチップTROPIC01に、レーザーによるフォールトインジェクションの欠陥を発見しました。悪用には物理的な所持、チップの開封、ラボ設備が必要で、既存のチップではファームウェアで修正できません。Trezorは、ウォレットの鍵とバックアップはこのチップに保存されていないため、資金、PIN、バックアップが暴露されることはなく、利用者が対応する必要はないと説明しました。 | trezor.io |
| 2026-04-20 | 複数（MetaMask、Ledger、Trust Wallet、Coinbaseなどのなりすまし） | 偽アプリ | — | Kasperskyは、AppleのApp Storeで26件の偽ウォレットアプリを確認したと報告しました。少なくとも2025年秋から続くキャンペーンの一部です。これらのアプリは、開発者プロファイルを通じてトロイの木馬化されたウォレットをインストールさせたり、偽の画面でリカバリーフレーズを要求したりしていました。 | kaspersky.com |
| 2026-04-07 | Ledger（なりすまし） | 偽アプリ | ~$9.5M | AppleのMac App Storeに掲載された偽のLedger Liveアプリがリカバリーフレーズを収集していました。ZachXBTは、2026年4月7日から13日までの約$9.5Mの盗難をこのアプリと結び付けており、3人の被害者がそれぞれ$1M以上を失いました。Appleは掲載を削除しましたが、審査を通過した経緯は説明していません。 | theblock.co |
| 2026-02-14 | Trezor、Ledger | フィッシング | — | TrezorとLedgerを装った偽のレターヘッドの郵便物が、必須の「Authentication Check」または「Transaction Check」が必要だとして、QRコードで受取人をリカバリーフレーズを収集するフィッシングサイトに誘導しました。両社とも、リカバリーフレーズを求めることは決してないとしています。 | bleepingcomputer.com |
| 2026-01-05 | Ledger | データ漏えい | — | Ledger.comの一部の注文の決済を処理していたGlobal-eが侵害され、顧客の氏名と連絡先が流出しました。Ledgerは、自社のハードウェア、ソフトウェア、プラットフォームは侵害されておらず、資金が危険にさらされることはないと説明しました。 | bravenewcoin.com |
| 2025-12-24 | Trust Wallet（ブラウザ拡張機能） | サプライチェーン | ~$8.5M | Trust Wallet自身のリリース手続きの外で公開された悪意あるChrome拡張機能v2.68が、12月24日から26日にログインした利用者のリカバリーフレーズを外部に送信しました。Trust Walletは、この攻撃が2025年11月のSha1-Hulud npmワームに起因すると高い確度で考えているとしています。このワームにより、開発者のGitHubシークレットとChrome Web StoreのAPIキーが漏えいしていました。同社はv2.69を公開し、リリース用APIを無効化し、送信先ドメインを停止させ、影響を受けた利用者に補償する請求手続きを開始しました。 | trustwallet.com |
| 2025-12-20 | 全般（アドレスポイズニング） | フィッシング | ~$50M | あるトレーダーが、アドレスポイズニングのスクリプトによって取引履歴に紛れ込まされた類似アドレスをコピーし、少額のテスト送金の後、約$50MのUSDTを送金しました。攻撃者はDAI、ETH、Tornado Cashを経由して資金を洗浄し、被害者は$1Mの報奨金を提示しました。 | theblock.co |
| 2025-12-16 | Exodus | ポリシー | — | 米財務省のOFACは、イラン制裁への明白な違反254件（うち12件は悪質と判断）について、Exodus Movementと$3,103,360で和解したと発表しました。2017年10月から2019年1月にかけて、Exodusのサポート担当者がイランの利用者を支援し、一部では提携取引所の利用を手助けし、12回にわたりVPNの使用を勧めていました。ハッキングではなく、利用者の資金への影響はありません。 | ofac.treasury.gov |
| 2025-09-08 | 全般（npmサプライチェーン） | サプライチェーン | ~$600 | 攻撃者はメンテナーをフィッシングで欺いた後、chalk、debugをはじめ約18の他のnpmパッケージの悪意あるバージョンを公開しました。このコードはブラウザ上でwindow.ethereumと通信処理をフックし、暗号資産の送金先アドレスを差し替えるものでした。悪意あるバージョンはすぐに発見され、攻撃者が得た利益はごくわずかでした。 | thehackernews.com |
| 2025-06-23 | Trezor | フィッシング | — | 攻撃者は被害者の名前でTrezorのサポートフォームに問い合わせを送信し、Trezor自身の自動返信メールにフィッシングの内容が含まれるようにしました。Trezorは、自社のシステムとデータへのアクセスはなかったとし、フィッシングサイトを閉鎖させ、さらなる悪用の防止に取り組んでいると説明しました。 | theblock.co |
| 2025-05-07 | 全般（Inferno Drainer） | ドレイナー | >$9M | Check Pointは、Inferno Drainerが再び使われ始め、偽のCollab.Land Discord認証ページで被害者を誘い込み、検出を避けるために使い捨てのコントラクトと暗号化されたオンチェーン設定を追加していたと報告しました。 | decrypt.co |
| 2025-04 | Ledger | フィッシング | — | Ledgerの利用者に、QRコードとリカバリーフレーズの入力による「必須のウォレット検証」を求める郵便物が届きました。Ledgerは、これらの郵便物は詐欺であり、24単語を求めることは決してないと確認しました。 | theblock.co |
| 2025-03-05 | Trezor | 脆弱性 | — | LedgerのDonjonは、取り外したマイクロコントローラーに電圧グリッチを加えることで、旧モデルのTrezor Safe 3のサプライチェーン保護の一部を回避できることを示しました。Trezorはこの問題を公表し、悪用は困難だとしたうえで、パスフレーズとファームウェアのチェックを挙げ、Safe 5はグリッチ耐性のあるチップを採用していると指摘しました。 | theblock.co |
| 2025-02-21 | Safe{Wallet}（Bybit） | サプライチェーン | ~$1.5B | Lazarusによるものとされる攻撃者がSafe{Wallet}の開発者のマシンを侵害し、SafeのAWS S3バケット内のフロントエンドJavaScriptを改ざんしました。その結果、Bybitの署名者は、偽装された悪意ある取引をコールドウォレット上で承認してしまいました。Safeはインフラを再構築し、すべての認証情報を更新してサービスを復旧し、スマートコントラクトに脆弱性はなかったと説明しました。 | slowmist.medium.com |
| 2025-02-06 | 全般（SparkCat） | 偽アプリ | — | Kasperskyは、App StoreとGoogle PlayのアプリにSparkCat SDKが組み込まれているのを発見しました。このSDKは端末上のOCRで写真ギャラリーからリカバリーフレーズのスクリーンショットを探し出し、アップロードしていました。両ストアは該当アプリを削除しました。 | thehackernews.com |
| 2025-01-21 | Ledger | その他 | — | Ballandとそのパートナーが暗号資産の身代金目的でフランスで誘拐され、Ballandが指を負傷した後、数日以内に警察によって救出されました。容疑者10人が逮捕されました。暗号資産保有者を狙った物理的な「レンチ攻撃」の増加を象徴する事件の一つです。 | thelocal.fr |
| 2025-01 | 全般（アドレスポイズニング） | フィッシング | >$83.8M | USENIX Security 2025の研究では、約2年間にEthereumとBSCで約2億7,000万件のアドレスポイズニングの試みが確認され、少なくとも$83.8Mの損失が生じたと測定されました。 | arxiv.org |
| 2024-12-30 | Tangem | 脆弱性 | — | モバイルアプリのログ記録のバグにより、利用者がシードフレーズ型ウォレットを作成した際に秘密鍵がログに書き込まれ、そのログがTangemのサポートに届く可能性がありました。Tangemは2024年12月30日に修正し、サポートのログを削除し、影響を受けた利用者に連絡して資金の損失はないと説明しましたが、公の説明が乏しいと批判されました。 | cointelegraph.com |
| 2024-09 | WalletConnect（なりすまし） | 偽アプリ | ~$70,000 | Check Pointは、Google Playで約5か月にわたりウォレットから資金を抜き取っていた偽の「WalletConnect」アプリを発見しました。同社が確認した初のモバイル専用の暗号資産ドレイナーでした。アプリは削除されました。 | thehackernews.com |
| 2024-05-17 | 全般（Pink Drainer） | ドレイナー | ~$85M | DiscordやXのアカウント乗っ取りで知られるドレイナー・アズ・ア・サービスのPink Drainerは、約$85Mの盗難（ScamSniffer調べ）の後、活動を終了すると発表しました。 | theblock.co |
| 2024-05-03 | 全般（アドレスポイズニング） | フィッシング | ~$68M | ある大口保有者が、ポイズニングされた類似アドレスに$68M相当のWBTCを送金しました。オンチェーンでの交渉の後、攻撃者は約1週間以内に資金のほぼ全額を返還しました。 | unchainedcrypto.com |
| 2024-02-12 | Safe（Angel Drainerによる悪用） | ドレイナー | ~$403,000 | Angel Drainerは悪意あるSafeのボールトコントラクトをデプロイし、被害者にPermit2の承認に署名させました。Etherscanの「verified」バッジが誤った安心感を与えていました。Blockaidは、Safe自体は攻撃されていないと説明しました。 | cointelegraph.com |
| 2024-02-06 | Exodus（なりすまし） | 偽アプリ | ~$490K | UbuntuのSnap Storeに掲載された偽の「Exodus」ウォレットのsnapがリカバリーフレーズを盗んでいました。Canonicalは2月12日の報告を受けて隔離しました。2023年9月には偽のLedger Live snapにより、ある利用者が約$10Kを失っていました。 | blog.popey.com |
| 2024-01-17 | Trezor | データ漏えい | — | 攻撃者が外部のサポートチケットポータルにアクセスし、2021年12月以降にTrezorのサポートに問い合わせた人の氏名とメールアドレスが流出しました。少なくとも41人がシードフレーズを狙ったフィッシングを受けました。Trezorは影響を受けた利用者にメールで連絡し、資産は侵害されていないと説明しました。 | forklog.com |
| 2023-12-14 | Ledger（Connect Kit） | サプライチェーン | ~$600,000 | フィッシングに遭った元従業員のnpmアカウントが悪用され、悪意あるLedger Connect Kitが公開されました。このライブラリを使うdAppにドレイナーが注入されました。Ledgerは修正を配信し、被害者への全額補償を約束し、ブラインド署名を段階的に廃止してClear Signingに移行すると発表しました。 | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | ハッキング | ~$2.7M | プロキシ管理者キーの漏えいが疑われ、攻撃者は非推奨となっていたOKX DEXのコントラクトをアップグレードし、利用者が承認していたトークンを抜き取りました。OKXは権限を取り消し、影響を受けた利用者への補償を約束しました。 | theblock.co |
| 2023-11-14 | 全般（BitcoinJS「Randstorm」） | 脆弱性 | — | Uncipheredは「Randstorm」を公表しました。2011〜2015年に生成されたBitcoinJSベースのブラウザウォレットにおける乱数の弱さ（JSBN SecureRandomとブラウザのMath.randomに起因）で、鍵が総当たりで突破される可能性があります。所有者には資金を移すよう呼びかけられました。 | forklog.com |
| 2023-11 | 全般（Inferno Drainer） | ドレイナー | >$80M | 2022年11月から活動し、16,000以上のフィッシングドメインで100以上の暗号資産ブランドを装っていたInferno Drainerは、2023年11月に活動終了を発表しました（Group-IB調べ）。 | group-ib.com |
| 2023-10-19 | Ledger Live（なりすまし） | 偽アプリ | ~$768,000 | ZachXBTの指摘によると、2023年10月19日からMicrosoft Storeに掲載された偽のLedger Liveアプリがリカバリーフレーズを盗んでいました。Microsoftはアプリを削除しました。 | bitdefender.com |
| 2023-09-05 | 全般（LastPassの侵害） | データ漏えい | >$35M | 研究者らは、一連の暗号資産の盗難を、2022年の侵害で盗まれオフラインで解読されたLastPassの保管庫内のシードフレーズと結び付けました。関連性は高いものの、決定的ではないとしています。 | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer（bx）— 「Milk Sad」 | 脆弱性 | >$900,000 | `bx seed`コマンドは、エントロピーがわずか32ビットの時刻ベースのPRNGを使用しており（CVE-2023-39910）、シードを総当たりで突破できる状態でした。Libbitcoinはドキュメントの警告を理由に、バグであることに異議を唱えました。 | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | ハッキング | >$100M | Atomic Walletの数千人の利用者から資金が抜き取られ、Ellipticはこの攻撃を北朝鮮のLazarus Groupによるものとしました。Atomicは根本原因を確認せず、考えられる4つの侵入経路を挙げるにとどまりました。同社は取引所、Chainalysis、Crystalと協力して資金の凍結に取り組みましたが、補償は発表していません。 | decrypt.co |
| 2023-05 | Ledger（Recover） | ポリシー | — | Ledgerは、シードフレーズを暗号化して3つの保管事業者に分割する有料のオプションサービスLedger Recoverを発表しました（2023年5月16日）。利用者からはファームウェアが鍵を抽出できてしまうとの反発が起き、CEOのPascal Gauthierは説明の仕方について謝罪し、オープンソース化の前倒しを約束し、提供開始を延期しました。 | forklog.com |
| 2023-04-22 | Trust Wallet（ブラウザ拡張機能） | 脆弱性 | ~$170,000 | Trust Wallet CoreのWebAssemblyにおけるエントロピーの欠陥により、拡張機能で生成された一部のウォレットが推測可能になり、その後2件の悪用が発生しました。Trust Walletは問題を修正し、危険にさらされた資金の大半を保全し、補償を行いました。 | theblock.co |
| 2023-02 | OneKey | 脆弱性 | — | Uncipheredは、ファームウェアの欠陥を突いてOneKey Miniから約1秒で秘密情報を抽出する動画を公開しました。OneKeyは欠陥を修正済みだと説明しました。 | unciphered.com |
| 2022-12 | BitKeep（現Bitget Wallet） | 偽アプリ | ~$8M | フィッシングサイトを通じて拡散されたトロイの木馬化されたBitKeepのAndroid APKが秘密鍵を盗んでいました。Google Play版は影響を受けていません。 | halborn.com |
| 2022-10-18 | BitKeep Swap（現Bitget Wallet） | ハッキング | ~$1M | BitKeepのSwap機能がBNB ChainとPolygonで悪用されました。BitKeepはSwapを停止し、請求ポータルを通じて100%補償すると約束しました。 | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | ハッキング | — | 提供開始から1か月足らずで、Rabby Swapのルーターコントラクトの脆弱性が悪用され、利用者が承認していたトークンが抜き取られました。RabbyはSwapの利用者にすべての承認を取り消すよう呼びかけました。 | theblock.co |
| 2022-09-20 | Profanityのバニティアドレス（Wintermute） | 脆弱性 | ~$160M | マーケットメーカーのWintermuteが$160Mを失いました。管理用のホットウォレットが、鍵を総当たりで突破できるProfanity生成のバニティアドレスだったことが原因と広く見られています。1inchはその1週間前にProfanityの欠陥を公表していました。 | theblock.co |
| 2022-08-02 | Slope Wallet | 脆弱性 | ~$4M–$5M | SlopeのモバイルアプリがシードフレーズをSentryのログサーバーに送信し、暗号化されないまま保存されていました（Otter Sec調べ）。Slopeは利用者に資金を移すよう呼びかけました。Phantomは自社のシステムは侵害されておらず、影響を受けたPhantomの利用者はSlopeのシードをインポートしていたと説明しました。 | theblock.co |
| 2022-06-16 | MetaMask、Phantom（およびBrave） | 脆弱性 | — | Halbornによる「Demonic」の公表で、ブラウザの「セッション復元」ファイルにシードフレーズが暗号化されないままディスク上に保存される可能性があることが示されました。MetaMaskとPhantomは修正を配信しました。 | theblock.co |
| 2022-04-17 | MetaMask（iOS） | フィッシング | ~$650,000 | 電話詐欺によってある利用者のApple IDが乗っ取られ、MetaMaskの保管庫のiCloudバックアップを使ってウォレットの資金が抜き取られました。MetaMaskは利用者に注意を呼びかけ、アプリのiCloudバックアップを無効にする手順を公開しました。 | decrypt.co |
| 2022-04-03 | Trezor | フィッシング | — | 内部関係者の関与によるMailchimpの侵害を受けて、Trezorの顧客に、シードフレーズを盗む目的の偽の「Trezor Suite」アプリへ誘導するフィッシングメールが届きました。Trezorはそのドメインを停止させ、ニュースレターの配信を一時停止しました。 | siliconrepublic.com |
| 2021-06-16 | Ledger | フィッシング | — | 犯罪者は2020年の漏えいデータを使い、改造された偽のLedger Nano X「交換用」デバイスを郵送しました。デバイスは被害者にソフトウェアを実行してリカバリーフレーズを入力するよう指示するものでした。Ledgerは、フレーズを求めることは決してないと改めて表明しました。 | bleepingcomputer.com |
| 2021-01-22 | Trezor（なりすまし） | 偽アプリ | >$1M | 2021年1月22日から2月3日までAppleのApp Storeに掲載された偽の「Trezor」アプリがシードフレーズを収集していました。Google Playにも同様の偽アプリが現れました。 | malwarebytes.com |
| 2020-12-20 | Ledger | データ漏えい | — | 2020年6月に盗まれたLedgerのECサイトのデータベースがRaidForumsで公開され、その後何年にもわたるフィッシング、恐喝、偽デバイスのキャンペーンにつながりました。Ledgerは悪用されたAPIキーを無効化し、2020年7月にフランスのCNILに通知していました。 | decrypt.co |
| 2020-03-24 | 全般（無制限のトークン承認） | 脆弱性 | — | ZenGoは、dApp対応ウォレットの多くがERC-20の無制限の許可を与えており、不正なdAppが後から資金を抜き取れることを示しました。Trust Walletは改善すると表明し、MetaMaskとBraveはすでに高度な許可管理機能を提供していました。 | cointelegraph.com |
| 2020-01-31 | Trezor | 脆弱性 | — | Kraken Security Labsは、電圧グリッチを用いて、15分未満の物理的アクセスでTrezorデバイスから暗号化されたシードを抽出しました。このマイクロコントローラーの欠陥は修正できません。Trezorは、BIP39パスフレーズでこの攻撃を防げると説明しました。 | theblock.co |
| 2019-04 | Electrum | その他 | — | Smoke Loader/RIGを通じて拡散したボットネットが正規のElectrumサーバーにDDoS攻撃を行い、古いクライアントを悪意あるフィッシングサーバーに誘導しました。Electrumは3.3より前のクライアントにあるDoSの欠陥を利用してアップグレードを強制し、サーバー運営者向けのガイダンスを公開しました。 | malwarebytes.com |
| 2019-02-22 | Coinomi | 脆弱性 | — | ある利用者が、Coinomiのデスクトップウォレットが復元欄のテキスト（シードフレーズを含む）をGoogleのスペルチェックAPIに送信していたことを示しました。Coinomiはプラグインの設定ミスが原因だとし、2019年2月22日に修正しました。 | theblock.co |
| 2018-12-27 | Trezor、Ledger | 脆弱性 | — | wallet.failチームは35C3で、Trezor One（パスフレーズなしでの鍵の抽出）とLedger Nano S/Blueへの攻撃を披露しました。Trezorはファームウェアでの修正を約束し、協調的な情報開示が行われなかったことを批判しました。 | crowdfundinsider.com |
| 2018-12-21 | Electrum | フィッシング | >$4M | 悪意あるElectrumサーバーが、リッチテキストのエラーメッセージを表示できるクライアントの機能を悪用し、偽の「アップデート」通知を表示して、シードを盗んだり支払いを転送したりするトロイの木馬化されたウォレットへ誘導しました。Electrumは3.3.3/3.3.4でこの問題を修正し、その後アップグレードを強制しました。 | malwarebytes.com |
身を守るために
ウォレットは、自分で入力してアクセスした公式サイトまたはストアの掲載ページからのみダウンロードしてください。シードフレーズは決してウェブサイトに入力せず、「サポート」を名乗る相手にも教えないでください。署名する前に、すべての取引と承認の内容を確認してください。貼り付けたアドレスは、最初と最後の数文字だけでなく全文字を確認してください。アドレスポイズニングはその部分を模倣するためです。また、多額の資産はハードウェアウォレットで保管してください。詳しくはシードフレーズの安全対策と暗号資産ウォレット詐欺をご覧ください。
調査方法と引用について
各項目は、ベンダーの事後報告、セキュリティ研究者、信頼できる報道に基づいており、行ごとに出典を記載しています。損失額は当時報告された数値です。報道関係者や研究者の方は本ページを引用いただけます。その際は本ページへのリンクをお願いします。データはプレスページから無料でダウンロードできます。訂正のご連絡も歓迎します。