アドレスポイズニングは悪意ある承認やフィッシングリンクを伴わないのに、なぜ単なるユーザーの過失ではなく「詐欺」に分類されるのか？
重要なのは「誰が能動的に罠を仕掛けたか」だ。もしユーザーが単に自分で一文字を打ち間違えただけなら、それは確かに過失だろう。しかしアドレスポイズニングの一連の流れでは、攻撃者が能動的になりすましアドレスを生成し、能動的に被害者に対して取引を仕掛けて履歴に植え付け、被害者が将来アドレスを確認する際の視覚的な習慣を精密に見越して仕込んでいる——この一連のプロセスは、特定の標的に向けて計画的かつ入念に設計された攻撃連鎖であり、被害者が最終的に間違ったアドレスをコピーしてしまうのは、その連鎖の中で最後にトリガーされる一歩にすぎず、事件の出発点ではない。
これこそが、アドレスポイズニングが単なる操作ミスではなく詐欺の手口に分類される理由だ。判断基準は「被害者がボタンを押し間違えたかどうか」ではなく、「その罠が誰かによって意図的に仕掛けられたものかどうか」である——被害者が最終的に自分でパスワードをフィッシングサイトに入力してしまったとしても、それはユーザーの過失ではなくフィッシング詐欺であるのと同じ論理だ。
攻撃者が「最初と最後は同じで中間だけ異なる」アドレスを生成するのは、技術的にどう実現しているのか？被害者の秘密鍵をブルートフォースで解読する必要があるのではないか？
ここで一つ、よくある誤解を解いておく必要がある。攻撃者が生成するなりすましアドレスは「同じアドレスの秘密鍵だけを変えたもの」ではなく、攻撃者自身が独立して生成し秘密鍵を保持している完全に別のアドレスであり、たまたま見た目がよく似ているだけだ。これは技術的には誰の秘密鍵も解読する必要がまったくない——仮想通貨アドレスの生成は、本質的にはまずランダムに秘密鍵を生成し、固定のアルゴリズムを通じて対応するアドレスを計算するというプロセスであり、誰でも「秘密鍵を生成し、アドレスを計算し、目標にどれだけ似ているかを確認する」というこのプロセスを繰り返すことができる。これは総当たりによる「運試し」であって、すでに存在するアドレスを解読しているわけではない。
この種の「見覚えのある」アドレスを専門に生成するツールは業界でバニティアドレスジェネレーター（vanity address generator）と呼ばれ、もともとは覚えやすく見栄えの良いアドレス（例えば同じ数字が連続する先頭部分など）を生成するために使われていたが、同じ技術がそのまま逆手に取られ、標的アドレスの接頭辞・接尾辞に似たなりすましアドレスを大量生成するために使われている。これこそが、アドレスポイズニングが自動化され大規模に実行できる理由だ——攻撃者は特定の被害者に対してカスタマイズされた技術的突破口をまったく必要とせず、単にスクリプトを走らせ、オンチェーンで活発な高資産アドレスを見張り、似たアドレスを一括生成してゼロ額取引を仕掛け履歴に植え付けるだけでいい。
アドレス帳機能以外に、アドレスポイズニングを効果的に防ぐ具体的なツールや方法はあるのか？
現在業界で比較的成熟している対策は主に3種類ある。第一はウォレット内蔵またはサードパーティ製のリアルタイムリスク検知ツールだ（本記事で触れたBlockaidのようなセキュリティ企業が提供するサービスで、通常はブラウザ拡張機能やウォレット内蔵モジュールの形で存在する）。この種のツールは、アドレスをコピーまたはペーストする際、そのアドレスの過去のオンチェーン活動パターンを自動的に照合し、ゼロ額または極めて少額の取引しか送っていない、ポイズニングアドレスの疑いがある不審なアドレスを検知すると、画面上に能動的に警告を表示する。第二はブロックチェーンネームサービス（ENSなど）で、照合が困難な16進数アドレスを人間が読みやすく記憶しやすい名前（例：yourname.eth）に置き換え、「長い16進数文字列を一文字ずつ照合する」という人間が本質的に苦手な動作そのものを根本から回避する。
第三は操作習慣レベルでの防御だ。ウォレットの取引履歴表示を定期的に整理する（一部のウォレットは不審なゼロ額取引の履歴を非表示または警告表示する機能をサポートしている）、高資産のウォレットについてはマルチシグや二段階確認を要する送金フローの導入を検討する、そして最も基本的でありながらしばしば見落とされる点として、アドレスをコピーして送金欄に貼り付けた後、カーソルをアドレスの中間部分に移動させ目視で追加の数文字を確認する習慣をつけることだ——「最初と最後が正しく見える」という第一印象だけを信頼しないようにする。これらの方法は互いに補い合うものであり、単一のツールだけでリスクを完全に排除できるものはない。複数の防御層を重ねることが実際に有効な対策となる。
一般的な個人投資家程度の資産しか持っておらず、「オンチェーンで活発な高資産アドレス」というほどではないが、それでも狙われる心配はあるのか？
心配する必要がある。その理由は本記事で触れた攻撃規模のデータと直接関係している——アドレスポイズニングの実行コストは極めて低く、特にイーサリアムのFusakaアップグレードによって取引手数料が大幅に引き下げられた後は、攻撃者が一件のゼロ額ポイズニング取引を送るコストはほぼ無視できるレベルになった。これは、攻撃者が採算を取るために特定の高資産ターゲットを「厳選」する必要がもはやなく、自動化スクリプトを使ってオンチェーン上の多数のアクティブなアドレスを、その背後にある資産規模に関係なく絨毯爆撃的にカバーできることを意味する。先に触れた「200回のポイズニング試行につき1回が成功する」という統計そのものが、これが数で勝負する攻撃であることを示しており、個人投資家であれ機関投資家であれ、大口であれ少額であれ、同じ攻撃対象プールの中にいる。
より現実的な考慮点は、たとえ現在のウォレットの資産がそれほど多くなくても、そのアドレスに一度なりすましの履歴が植え付けられてしまえば、そのリスクは取引履歴の中に潜伏し続け、ある日より大きな金額（仕事の報酬、資産の売却代金など）を送金する必要が生じた時に、初めて実際にトリガーされるという点だ。言い換えれば、資産の規模が決めるのは「狙われるかどうか」ではなく、「ポイズニングの罠が発動した時にどれだけの損失が出るか」なのだ。アドレスの中間文字を確認する習慣やアドレス帳を使う習慣は、資産の多寡とは関係がない。早く身につければつけるほど、リスクにさらされる期間は短くなる。
2025年12月、ある仮想通貨トレーダーは「正しい」ことをすべて実行した——送金前に50 USDTの少額テスト送金を行い、無事に着金したことを確認してから、安心して自分の取引履歴からその「検証済み」のアドレスをコピーし、約5000万ドル相当のUSDTを送るために貼り付けた。26分後、その資金は攻撃者の懐に収まっていた。彼がコピーしたアドレスは正しいアドレスとほぼ同一に見えた——最初の数文字と最後の数文字は完全に一致していた——が、中間のいくつかの文字が攻撃者によってひそかに置き換えられており、実際には攻撃者が管理する別のウォレットを指していた。この手口は業界でアドレスポイズニングとして知られており、その恐ろしさは次の点にある——被害者は最初から最後まで悪意ある承認に署名しておらず、フィッシングリンクもクリックしていない。唯一の過ちは、自分自身でコピー＆ペーストしたそのアドレスを信じたことだけだった。
仮想通貨アドレスは通常40文字の16進数文字列であり、この長さは人間が完全に記憶したり一文字ずつ照合したりできる範囲をはるかに超えている。実務上、ほとんどの人がアドレスを確認する際、無意識に最初と最後の数文字だけをざっと見るだけで、長い中間部分はほとんど一文字ずつ照合することがない。アドレスポイズニングの攻撃者はまさにこの習慣を精密に利用する。彼らは標的とする被害者がよく使うアドレスと最初と最後が完全に一致し、中間の文字だけが異なる「なりすましアドレス」を大量に生成し、被害者のウォレットに極めて少額、あるいはゼロ額の送金取引を能動的に送りつける。この取引の唯一の目的は、このなりすましアドレスを被害者のオンチェーン取引履歴に植え付けることであり、被害者が将来送金が必要になった際に、取引履歴から「見覚えのある」そのアドレスをそのままコピーしてしまうのを待ち構え、攻撃者が仕掛けた罠を完成させる。
カーネギーメロン大学の研究チームがイーサリアムとバイナンス・スマートチェーンの2年分の取引データを分析した結果、アドレスポイズニング攻撃はこれまでに2.7億回以上の試行が確認され、1700万以上の独立したウォレットアドレスが標的にされていたことが判明した。ブロックチェーンセキュリティ企業Blockaidの追跡データによれば、2025年初頭以降だけでも、オンチェーンでフラグが立てられたアドレスポイズニング取引はすでに6540万件を超えており、1日平均16万件以上に上る。そのうち約31万6000件は被害者が実際に資金をポイズニングされたアドレスへ送金してしまった確認済みの成功攻撃であり、換算するとおよそ200回のポイズニング試行につき1回が成功していることになる。さらに警戒すべきは、この攻撃の規模が加速している点だ。2025年12月に完了したイーサリアムのFusakaアップグレードは取引手数料を大幅に引き下げ、これまで手数料コストによって抑制されていた大規模なポイズニングキャンペーンが、手数料低下後に一気に解き放たれた——わずか2ヶ月の間に、オンチェーンでのポイズニング試行件数は約63万件から340万件へと急増し、5倍以上の増加を記録した。
アドレスポイズニングの標的は一般の個人投資家に限らない。セキュリティ企業Blockaidが公開した事例では、攻撃者がSafeマルチシグウォレットのネストされたSafe機能を悪用し、外見が非常に似た約1万5000個の悪意あるプロキシアドレスを一括生成し、被害者のウォレットインターフェースに表示される記録リストに直接植え付けていたことが明らかになった。これは、マルチシグのような高度なセキュリティ対策を採用しているユーザーであっても、アドレスを確認する際に目視で最初と最後だけをざっと見ているだけでは、同じように罠にはまる可能性があることを意味する。これは本サイトで繰り返し強調している原則とも一致する——マルチシグであれ監査であれハードウェアウォレットであれ、単一のセキュリティ機構が防ぐのは特定の種類のリスクだけであり、アドレスポイズニングが狙っているのは「確認」という行為そのものにおける人間の限界であって、使っているウォレット自体が安全かどうかとは直接関係がない。
次に取引履歴やチャット履歴からアドレスをコピーする際、二つの習慣を身につけることで被害に遭う確率を大幅に下げられる。第一に、最初と最後の数文字だけを確認するのではなく、少なくとも中間の一部分も追加で確認するか、いっそのことアドレス帳機能に切り替えることだ——主流のウォレットのほとんどは、よく使うアドレスを事前に保存し名前を付けておく機能をサポートしており、以降の送金では毎回コピー＆ペーストするのではなく、自分が保存したアドレス帳から選択できる。第二に、特に金額の大きな送金については、まず少額のテスト送金を行い、受取人が受領を確認した後、直接完全なアドレスを送り返してもらって照合すべきだ——本記事冒頭のトレーダーのように、テスト完了後にそのまま自分の取引履歴から「正しく見える」アドレスをコピーしてはいけない。アドレスポイズニング攻撃の設計全体が、まさにこの一見最も安全に思えるはずの最後のステップを狙っているのだ。