2.8億ドル盗難、半年かけた“信頼構築型”サイバー攻撃の全手口――中小企業が知るべき教訓

事件の概要――DeFi史上最大級の被害

Drift Protocolは、Solanaブロックチェーン上で最大の分散型デリバティブ取引所です。2026年4月1日、攻撃者はわずか数分間で約2億8,500万ドル相当の暗号資産（USDC、SOL、WBTCなど）を流出させました。これは2026年最大のDeFiハッキング事件であり、Solanaエコシステムでは2022年のWormholeブリッジ事件（3億2,600万ドル）に次ぐ規模です。

出典: CCN、Elliptic、TRM Labs、CoinDeskの各報道を基に編集部まとめ

攻撃の全貌――6ヶ月間の「信頼構築」フェーズ

この攻撃が通常のハッキングと決定的に異なるのは、半年以上をかけて「人間関係」を構築した点です。攻撃者は技術的な脆弱性を突く前に、まずターゲット組織の「信頼」を獲得しました。

ステップ1: 接触（2025年秋）

攻撃者グループは、大手暗号資産カンファレンスでDriftの開発者に「クオンツ（定量分析型）取引会社」として接触しました。彼らは技術に精通し、検証可能な経歴を持ち、Driftの運用を熟知していました。最初の対面でTelegramグループが作成され、取引戦略やVault（資金プール）の統合について実質的な会話が始まりました。

ステップ2: 実績構築（2025年12月〜2026年1月）

攻撃者は正規の手続きに従ってDrift上にEcosystem Vault（エコシステム資金プール）を開設し、100万ドル以上の自己資金を入金しました。複数の開発者とワーキングセッションを重ね、詳細な製品に関する質問を行いました。このことで、攻撃者は「正当な取引パートナー」としての実績を積み上げました。

ステップ3: 深化（2026年2月〜3月）

統合の技術的な議論を継続しながら、複数の国際カンファレンスで再び対面。この時点で関係は約半年に及び、Driftの開発者にとって彼らは「一緒に仕事をしてきた知り合い」でした。この間、攻撃者は自社開発中のプロジェクトやツールのリンクを共有していました。

ステップ4: 攻撃実行（2026年4月1日）

攻撃が実行された直後、攻撃者はTelegramのチャット履歴とマルウェアを完全に消去。資金はUSDCとSOLに集約され、一部はEthereumへブリッジされました。攻撃者のウォレットは取引所やブリッジ事業者によってフラグ（凍結対象に指定）されています。

3つの攻撃経路を技術解説

Driftの調査により、3つの攻撃経路が特定されています。いずれも「信頼関係があるからこそ成立した」手法です。

経路1: 悪意あるコードリポジトリのクローン

攻撃者は「Vaultのフロントエンド（ユーザー画面）を構築するため」という名目で、コードリポジトリ（ソースコードの保管場所）のURLを開発者に共有しました。開発者がそのリポジトリをダウンロード（クローン）して開発環境で開いた際に、悪意あるコードが実行された可能性があります。

経路2: VSCode / Cursorの脆弱性を悪用

上記のリポジトリ経路では、VSCodeやCursorといったコードエディタ（開発者がプログラムを書くためのソフトウェア）の既知の脆弱性が悪用された可能性があります。この脆弱性は、ファイルやフォルダを「開くだけ」で、ユーザーに何の通知もなく任意のプログラムが実行されるという深刻なものです。クリックも許可ダイアログも不要で、2025年12月〜2026年2月にかけてセキュリティコミュニティが警告を発していました。

具体的には、VSCodeの「Workspace Trust」機能が無効な状態で、.vscode/tasks.jsonに仕込まれたタスクがフォルダを開いた瞬間に自動実行される仕組みです。また、Cursorでは大文字・小文字の区別ミス（CVE-2025-59944）を突いて設定ファイルを書き換え、遠隔からコードを実行できる脆弱性も存在しました。

経路3: 偽のTestFlightアプリ

別の開発者は、攻撃者が「自社のウォレット製品」として紹介したTestFlightアプリをダウンロードするよう誘導されました。TestFlightとは、Apple社が提供するiOSアプリのベータテスト配布サービスです。正規の配布経路を使うことで、被害者に「まともなアプリだ」と思わせる巧妙な手口です。

専門用語で理解する攻撃の仕組み

この事件を正しく理解するために、登場する専門用語を整理します。

犯人は誰か――北朝鮮の国家支援ハッカー

セキュリティ調査チーム「SEAL 911」の分析により、この攻撃はUNC4736（北朝鮮の偵察総局傘下のハッカーグループ）による犯行と「中〜高確信度」で評価されています。

根拠は2つあります。第一に、オンチェーン（ブロックチェーン上の資金の流れ）の分析で、今回の攻撃に使われた資金が、2024年10月のRadiant Capitalハッキング（5,000万ドル被害、Mandiant社がUNC4736と帰属）の攻撃者ウォレットに遡れること。第二に、運用面での類似性として、使われた偽の身元や活動パターンが過去のDPRK（北朝鮮）関連の作戦と重複していることです。

注目すべき点は、カンファレンスで対面した人物は北朝鮮国籍ではなかったことです。北朝鮮のハッカーグループは、第三者の仲介者を使って対面での信頼構築を行うことが知られています。

Ellipticの報告によれば、北朝鮮関連のハッカーは2025年だけで20億ドル超（約3,000億円）の暗号資産を窃取しており、その手法は「技術的な脆弱性の悪用」から「人間関係を利用するソーシャルエンジニアリング」へとシフトしています。Driftの事件はその最新事例です。

中小企業が「対岸の火事」にできない理由

「暗号資産やDeFiとは無関係だから自社には関係ない」と思うかもしれません。しかし、この攻撃で使われた手法は暗号資産に限った話ではありません。

1. 「信頼できる取引先」が攻撃者になりうる

今回の攻撃者は、半年間にわたって正当なビジネスパートナーとして振る舞いました。名刺交換、対面ミーティング、実際の取引――すべてが「本物」に見えました。中小企業でも、新規取引先からの「便利なツール」「共同開発用のソフト」をインストールする場面は珍しくありません。

2. 開発ツールの脆弱性は全業種に影響

VSCodeは世界で最も使われているコードエディタです。ファイルを開くだけでマルウェアに感染する脆弱性は、Webサイトを自社開発・運用している中小企業にも直接影響します。社内のエンジニアやIT担当者が使用するツールのアップデートは、経営上のリスク管理そのものです。

3. 国家支援ハッカーの標的は大企業だけではない

北朝鮮のハッカーグループは「金銭目的」で活動しており、規模の大小を問わず狙います。特にサプライチェーン攻撃（取引先経由の侵入）では、セキュリティ体制が手薄な中小企業が「踏み台」として狙われるケースが増えています。IPA（情報処理推進機構）も「サプライチェーンの弱点を悪用した攻撃」を情報セキュリティ10大脅威の第2位に位置づけています（2023年以降4年連続）。

セキュリティ対策に使える補助金・助成金

サイバーセキュリティ対策には費用がかかりますが、中小企業向けの補助金・助成金を活用できます。

特に「デジタル化・AI導入補助金2026」のセキュリティ対策推進枠は、ウイルス対策ソフト、ファイアウォール、端末管理ツールなど幅広いセキュリティ製品が対象です。申請にはIPAの「SECURITY ACTION」宣言が必要ですので、まだの方はまず宣言から始めましょう。