ブログに戻る
securitysocial-engineeringbitcointrezorinvestigation
2億8200万ドルのビットコイン盗難：暗号資産史上最大のソーシャルエンジニアリング事件
一人のユーザーが、Trezorサポートを装った詐欺師により2億8200万ドル相当のビットコインとライトコインを失いました。なぜ人間による検証がハードウェアよりも重要なのかを解説します。
Miguel Treviño•
要約：
- 事件： 一人の被害者が、Trezorサポートを装った電話によるソーシャルエンジニアリング攻撃で、BTCとLTCで2億8200万ドルを失いました。
- 脆弱性： この攻撃はコードの脆弱性やハードウェアの故障ではなく、「共有可能な秘密情報」（シードフレーズ）を狙ったものでした。
- 教訓： 従来のセキュリティは、フィッシングされやすい24語のフレーズを人間が管理することに頼りすぎています。
- 解決策： ZelfのZK顔認証はシードフレーズの必要性を完全に排除します—持っていないものは漏洩しません。
2026年1月10日、一人の人物が1回の攻撃で2億8200万ドルを失いました。
スマートコントラクトの脆弱性でもなく、ゼロデイ脆弱性でもなく、取引所のハッキングでもありません。
電話一本で失われたのです。
攻撃の手口
ブロックチェーン調査員ZachXBTが追跡したところ、攻撃は壊滅的なほどシンプルでした：
- 準備段階：詐欺師がTrezorハードウェアウォレットのサポートを装う
- ソーシャルエンジニアリング：被害者にシードフレーズの共有を納得させる
- 窃盗：1,459 BTC（約1億3900万ドル）と200万以上のLTC（約1億5300万ドル）が即座に流出
高度なハッキングもコード脆弱性の悪用もなく、ただ人間を操っただけです。
資金の追跡
数時間以内に、攻撃者は盗んだ資金の洗浄を開始しました：
- THORChain：KYCなしでBTCをETH、XRPなどの資産にスワップ
- Tornado Cash：追跡を困難にするためにミキシング
- 複数のCEX：KuCoin、WhiteBit、Huobi、ChangeNOW
- Monero：追跡不可能な最終変換先
セキュリティ企業ZeroShadowは20分以内に約70万ドルをブロックしましたが、大部分は流出しました。
ハードウェアウォレットの厳しい現実
TrezorやLedgerのようなハードウェアウォレットは、暗号資産を保管する「最も安全な」方法として販売されています。技術的にはその通りですが—正しく使用された場合に限ります。
しかし、マーケティングが教えてくれないことがあります：
ハードウェアウォレットのセキュリティは、それを操作する人間次第です。
デバイス自体は侵害されていませんでした。ファームウェアも正常でした。暗号技術も機能していました。弱点は人間だったのです。
これはTrezorだけの問題ではありません。人間の問題です。そしてすべてのウォレット、すべてのデバイス、すべてのセキュリティシステムに当てはまります。
シードフレーズが設計上の欠陥である理由
正直に言いましょう：人間に以下を期待するのは：
- 24個のランダムな単語を書き留める
- 永遠に安全に保管する
- 絶対に誰にも共有しない
- 何年後かに保管場所を覚えている
...失敗を求めているようなものです。
シードフレーズは暗号学的セキュリティのために設計されたもので、人間の使いやすさのためではありません。そしてセキュリティと使いやすさが衝突すると、使いやすさが勝ちます—しばしば壊滅的な結果を伴って。
Zelfのアプローチ：秘密情報なしの認証
Zelfでは、根本的な原則に基づいて認証を構築しています：
持っていないものは漏洩しません。
ZK顔認証は異なる方法で動作します：
- 共有するシードフレーズがない：あなたの顔が認証そのものです
- 抽出する秘密情報がない：証明はゼロ知識であり、機密情報は送信されません
- サポート電話が不要：詐欺師が「助ける」ことができません—助けるものがないからです
ソーシャルエンジニアリング攻撃は共有可能な秘密情報を標的にします。秘密情報を排除すれば、攻撃ベクトルも排除されます。
この2億8200万ドルを救えたものは？
被害者がZKベースの認証システムを使用していたならば：
- 共有するシードフレーズがなかったはずです
- 詐欺師は「サポート」を装えませんでした—回復する秘密情報がないからです
- 認証は生体認証であり譲渡不可能です
攻撃者のプレイブック全体が無効になります。
得られた教訓
- シードフレーズを絶対に共有しない：正規のサポートがそれを求めることは絶対にありません
- 「サポート」電話に警戒する：本物の企業がコールドコールすることはありません
- 共有可能な秘密情報を疑う：誰かに伝えられる情報に依存する認証は脆弱です
- 人的要因を考慮する：最良のセキュリティとは、偶然にバイパスできないものです
認証の未来
2億8200万ドルの強盗は異常事態ではありません—人間の心理を考慮せずに設計された認証システムの自然な結果です。
Zelfは次世代を代表します：暗号学的に安全でありながら、ソーシャルエンジニアリングが不可能な認証。
あなたの顔はフィッシングできません。あなたの生体認証証明は電話で共有できません。あなたの身元はなりすましできません。