メタマスクのハッキングの噂の真相は？今すぐできる対策を解説

2023年4月18日、手口不明のハッキング被害の報告がTwitter（ツイッター）上で拡散しました。そのツイートをきっかけに、Twitterで「メタマスク」と「ハッキング」のキーワードがトレンド入りしました。仮想通貨コミュニティでは不安が広がっていますが、メタマスクは安全でしょうか。

当記事では、ハッキング報道の真相や、今すぐできるハッキング対策、報告されているハッキング被害の詳細などを解説していきます。

非カストディアルウォレットのハッキング被害が相次いでおり、Twitte（ツイッター）上で話題となっています。

仮想通貨コミュニティでは、Tay氏のツイートをきっかけに、混乱が生じています。

Tay氏は「メタマスクだけを狙ったハッキングではない」と説明していますが、メタマスクがハッキング被害を受けたとの解釈が広まりました。

特に日本国内では、情報が正確に伝わっておらず、多くのユーザーがメタマスクに対してネガティブな反応を示しています。

Twitterトレンドには、「メタマスク」と「ハッキング」のキーワードがランクインしています。

メタマスクはTwitterの公式アカウントを通じて、広まっている情報に誤りがあると否定しました。

ハッカーはメタマスクだけを狙ったわけでなく、被害総額の5,000ETHは11以上の異なるブロックチェーンから盗難されたと説明しています。

なお、メタマスクは原因究明を急いでいるとコメントしています。

この騒動を受けて、仮想通貨市場ではFUDが発生しています。2023年4月19日、ビットコイン価格は405万円付近から390万円台前半まで急落しました。

画像引用：CoinMarketCap

画像引用：CoinMarketCap

誰もがハッキングされる可能性があり、非カストディアルウォレットのユーザーは対策しなければなりません。例として、以下の対策があります。

メタマスクなど全ての非カストディアルウォレットが危険に晒されている可能性があるので、CEX（中央集権型取引所）を活用することは合理的だといえるでしょう。

取引所の自分のアカウントに仮想通貨を送金するだけなので、操作も簡単で、難しい知識も特に必要ありません。

CEXには倒産のリスクなどもありますが、とりあえず、ハッキング騒動の調査が進むまでの対策としては有効です。

複数のウォレットに仮想通貨を分散すれば、ハッキング被害を軽減できます。根本的な回避策にはなりませんが、現実的には手軽で効果の高い策です。

非カストディアルウォレットは、シードフレーズと秘密鍵さえ漏れなければ、仮想通貨が流出することはありません。

シードフレーズを紙などに書いて保管し、秘密鍵をハードウェアウォレットに移動させると、完全オフラインの管理が実現します。

Tay氏はこのハッキングに関する分析結果を公開しています。手口は明らかでないものの、いくつかの特徴がわかっています。

ハッカーは、プロジェクト創設者や初期投資家のウォレットを主なターゲットとしている模様です。秘密鍵が2014年から2022年の間に生成されたという点が共通しています。

画像引用：Tay氏ツイート

ハッキング被害は、金曜から日曜にかけて発生しています。特に2022年12月と2023年4月は、週末にハッキング被害が集中しています。

画像引用：Tay氏ツイート（一部加工あり）

ハッカーは、仮想通貨をウォレットから外部に送金する前にETHに換金しています。その際、メタマスクのスワップ機能やユニスワップなどのDEX（分散型取引所）を利用します。

その後、盗まれた仮想通貨は、主に中央集権型のサービスに送金されます。FixedFloatやSimpleSwapなどです。なお、2022年12月22日に盗難された仮想通貨に関しては、DEX（分散型取引所）のRenBridgeに送金されています。そして、最終的にBTCに両替しています。

盗み出された仮想通貨は、いくつかのウォレットアドレスにまとめられてミキシングサービスに送られています。具体的には、Coinomize、Wasabi、CryptoMixerなどの名前が挙がっています。

Tay氏は、ハッカーがサーバー等の膨大なデータにアクセスして解析し、シードフレーズを入手した可能性があると考察しています。

一方、ブロックチェーンセキュリティ企業SlowMistのYu Xian氏は、何らかのサービス上で秘密鍵を含む情報が無差別に収集され、ハッカーがそれを分析したことでハッキングが発生した可能性があるとコメントしていると報じられています。

いずれも、インターネット環境に秘密鍵やシードフレーズなどの情報があった可能性を指摘しています。メタマスク特有の問題というわけではありません。

Tay氏は、2023年8月29日と30日にかけて、このハッキング被害の状況をアップデートしました。

Tay氏は、このハッキング被害が「メタマスクやウォレット固有の問題ではない」と、改めて警告しています。しかし、どこに脆弱性があるかは解らず、資金流出の明確な原因などは、未だ明らかではありません。

Tay氏は、ハッキング被害を受けたアドレス数が合計500以上、被害総額が2,500万ドルに達したと報告しています。

また、平均被害額も上昇しており、2023年4月には1人あたりの被害額が5万ドルだったのに対し、Tay氏のツイート時点では30万ドルに増加していると投稿しています。最小被害額は1万ドル以上で、犯人は大口のウォレットをターゲットとしていると考えられます。

Tay氏は、多くの被害者の秘密鍵やシードフレーズが、LastPassから流出していると指摘しました。

画像引用：LastPass

Tay氏がツイートした2023年8月末時点においても、ハッキングの被害は拡大している状況です。Tay氏は、LastPassからの秘密鍵・シードフレーズの流出を指摘していますが、明確な原因はわかっていません。いずれにせよ、今回のハッキング被害の早期の原因究明が望まれます。