Safeのフロントエンドを標的としたサプライチェーン攻撃でBybitから15億ドルが流出

2025年2月、Bybitは暗号資産史上最大規模となる15億ドルの流出事件に見舞われました。攻撃者は、Safeのマルチシグネチャウォレットインフラに存在していたサプライチェーンの脆弱性を突き、取引承認プロセスを攻略しました。

攻撃グループはSafe{Wallet}のフロントエンドを侵害し、Bybitの取引承認フローを操作しました。Bybitのセキュリティプロトコルでは、最低3人の承認者による署名が必須ですが、攻撃者は承認ワークフローを傍受し、見かけ上は通常取引に見える偽造データを提示しました。実際には、コールドウォレットスマートコントラクトの管理権限が脅威者側に移転されていました。

承認者が内部送金と認識して承認した取引は、実際にはウォレット乗っ取りの認可となっていました。攻撃者は、改ざんした署名を元の取引データとすり替えて残りの承認者に共有し、Safe Transaction Serviceの認証ギャップを巧妙に悪用しました。

侵害後、EllipticやArkham Intelligenceなどのブロックチェーン分析企業が盗まれた暗号資産を複数アカウントに追跡しました。首謀者とされるLazarus Groupは、分散型取引所を利用しトークンを換金、50以上のウォレットに分散配置する高度な資金洗浄手法を使いました。数週間で約3億ドルが回収不可能な資産に転換され、現代の暗号資産マネーロンダリングの迅速さと効率性が浮き彫りとなりました。

Lazarus Groupがマルチシグネチャウォレットのセキュリティ脆弱性を悪用

2025年2月のBybit流出事件は、マルチシグネチャウォレットのセキュリティに根本的な脆弱性があることを示し、従来の業界認識に疑問を投げかけました。Lazarus Groupは、マルチシグコールドウォレットの防御を、サプライチェーンやUIの操作によって突破。暗号技術自体を攻撃するのではなく、ウォレット署名者を欺いて不正取引を認可させ、人間のインターフェースがセキュリティチェーンの最弱点であることを突きました。

Check Point Security Technologiesの研究者は「攻撃手法の新段階」と評し、強固なスマートコントラクトやマルチシグの防御でも署名者がソーシャルエンジニアリングにより攻略されれば無力となることを示しました。TRM Labsのデータでは、Bybitから流出した15億ドルは、2024年に北朝鮮が記録した暗号資産盗難総額約8億ドルを大きく上回ります。流出後、Lazarus Groupは2週間以内に少なくとも3億ドルを分散型取引所と50超のアドレスを使って回収不能な資金に変換し、取引履歴を巧みに隠蔽しました。この事件は、暗号資産セキュリティの主戦場が技術インフラから人間の認証プロセスへと移行したことを示し、認証強化の重要性を浮き彫りにしています。

分散型システムにおける中央集権的構成要素のリスクが顕在化

コンテンツ出力

2025年のBitcoin暴落を受け、45,751ドルまで価格が急落し、190億ドル超の清算が発生しました。分散型システムが中央集権インフラに依存することで根本的な脆弱性が明らかになりました。WazirXへのサイバー攻撃では、単一障害点がネットワーク全体のセキュリティを損ない、最終的にシンガポールでのモラトリアム申請に追い込まれました。

分散型エコシステムの中核に存在する中央集権的要素（管理者キー、オラクルネットワーク、DNSインフラなど）は、ガバナンス・セキュリティ両面のリスクとなり、システムのレジリエンスを阻害します。これらの依存は主に3つの脆弱性ベクトルで現れます。管理者キーは権限集中を生み、分散合意なしでプロトコル変更が行われるリスクがあります。オラクルシステムはブロックチェーンと外部情報を繋ぐ役割ですが、運営主体が限定されると操作リスクが増します。DNS・フロントエンドのホスティングインフラも分散化が進むものの、依然として攻撃対象となります。

こうした依存構造のリスクは事例からも明らかです。Iron FinanceやTerminal Financeは、中央集権的インフラ依存とメインネットローンチ遅延による障害で大規模なユーザー損失と市場の信頼喪失を経験しました。さらに、1億2,000万ドル規模のBalancer流出など、重大なセキュリティ侵害はEthereumやSolanaなど主要チェーンでTVL（二桁減）を引き起こしました。

マルチシグネチャウォレットやアップグレード可能なスマートコントラクトは部分的なリスク緩和策ですが、運用の複雑化を伴います。真の分散化には、中央集権的依存そのものを設計段階から排除することが不可欠であり、限られた関係者間で信頼トークンを分散するだけでは不十分です。

FAQ

bibi coinとは？

BIBIはSolanaブロックチェーン上で構築されたWeb3暗号資産で、分散型金融エコシステム内で高速・低コストの取引を可能にします。

Trumpのミームコインとは？

Trumpのミームコイン$MAGAは、ミームカルチャーとDonald Trumpブランドを掛け合わせたEthereumトークンです。2025年の公式TRUMPトークンより前に発行され、開発者は不明です。

1000 bee coinの価値は？

2025-12-04時点では、1000 bee coinは約161.93米ドル（現行市場レートと予測に基づく）です。

bibi coinの購入方法は？

信頼できる暗号資産取引所を選び、資金を入金してBIBIを取引します。追加のセキュリティ対策には非カストディ型ウォレットの利用がおすすめです。