暗号データ集計サイトのCoinMarketCapは、最近ウェブサイトに注入された悪意のあるコードを削除したことを確認しました。それはユーザーに「ウォレットを確認する」ことを求める詐欺ポップアップを表示しました。この事件は、高トラフィックの暗号プラットフォームにおけるセキュリティ脆弱性への新たな懸念を引き起こしました。
まずはCoinMarketCapが公式Xアカウントで金曜日に認めた、ユーザーに偽のウォレット確認メッセージで釣る、フィッシングスタイルのポップアップが確認されました。
会社は、この悪意のあるコードを迅速に削除したと発表しましたが、侵害の完全な範囲と出所を特定するための調査はまだ進行中です。
「悪意のあるコードをサイトから削除したことを確認しました」と同社は述べ、「我々のチームは引き続き調査を行い、セキュリティを強化しています」と付け加えました。
CoinMarketCapが最初に疑わしいポップアップに気付いたからわずか3時間後に、アップデートがありました。その最初の対応は、ソーシャルメディア、特にXにおける憶測とユーザー警告の増加を受けていました。
フィッシングポップアップが即座に警戒を喚起
この悪意のあるポップアップは、セキュリティ確認プロセスの名の下に、ユーザーに暗号ウォレットを接続させました。いくつかの暗号ユーザーを含む著名なオンチェーン観測者は、この詐欺がウォレットの認証情報とトークン許可をフィッシングするものであると警告しました。
暗号ユーザーのAuriは、ポップアップのスクリーンショットを投稿し、ユーザーにウォレットを接続し、ERC-20トークンへのアクセスを承認するよう要求していると警告しました。これはウォレット排出スキームで一般的に使用される戦術です。トークンの承認が与えられると、悪意のあるアクターは以降のユーザーの対話なしに資産を移転できます。
この種の詐欺は新しいものではありませんが、ますます洗練され、ソーシャルエンジニアリングと主要プラットフォームへの信頼を利用して、ユーザーにウォレットを危険にさらすように誘導しています。この詐欺は、主要なウォレットプロバイダーによって迅速に特定されました。MetaMaskとPhantomは、ともに攻撃期間中にCoinMarketCapドメインを安全でないと報告しました。
暗号ユーザーのJetは、SolanaとEthereumベースの資産用の人気ウォレットPhantomがCoinMarketCapを「使用するのは安全でない」とラベル付けしたブラウザ警告を発行したと共有しました。ウォレットによって自動的に行われるこの赤旗はユーザーに潜在的に危険なドメインとのやり取りを防ぐことを意図しています。
記述の時点で、複数のブラウザベースのウォレットのセキュリティチームは、追加のフィッシング被害を防止するため状況を継続的に監視しています。CoinMarketCapは信頼できるウォレットインターフェイスからのものでないポップアップやプロンプトにウォレットを接続しないようユーザーに繰り返し警告を発しています。
攻撃ベクトルの継続調査
CoinMarketCapは悪意のあるコードを削除したと主張していますが、それを注入するために使用された攻撃ベクトルは不明です。同社はサイト自体が侵害されたのか、広告スクリプトのような高トラフィックプラットフォームで過去に悪用されたサードパーティ統合を通じた攻撃であるのかを確認していません。
会社は完全な調査がまだ進行中であり、追加のセキュリティ対策が実施されていることを強調しました。CoinMarketCapは、影響を受けたユーザーがいるか、悪意のあるコードが発見および削除される前にどの程度活動していたかを開示していません。
最新の事件は、2021年10月にCoinMarketCapが被った以前の侵害に再度注目を集めました。この時は3.1百万以上のユーザーメールアドレスが漏洩しました。当時、盗まれたデータはハッキングフォーラムに現れ、「Have I Been Pwned」データ侵害通知サービスによりインデックスされ、侵害が確認されました。
パスワードや個人データが2021年の侵害で漏洩したという報告はありませんが、CoinMarketCapのプラットフォームで再びセキュリティ事故が発生したことは、サイトのインフラストラクチャとユーザーの保護能力に対する懸念を再燃させました。
CoinMarketCapが暗号価格、マーケットキャップ、トークン追跡のための主要データソースとしての地位を保っていることから、そのプラットフォームでのセキュリティの緩みは業界全体に広範な影響を及ぼす可能性があります。このようなプラットフォームでのフィッシングポップアップは、ユーザーがその信頼に起因して大規模な資産損失を引き起こす可能性があります。
標的とされる暗号フィッシングの増加傾向
CoinMarketCapの事故は、暗号ユーザーを標的にしたフィッシング詐欺がますます洗練されている広範な傾向の一部です。Chainalysisによると、2023年の暗号損失の1ビリオンダラー以上がフィッシングとソーシャルエンジニアリング攻撃によるものであり、2025年には信頼されたプラットフォームの弱点を攻撃者が悪用するにつれてさらに増加すると予想されています。
Web3セキュリティ専門家は、これらの攻撃はしばしば合法的なウェブサイトのコンテンツ配信ネットワーク、プラグイン、または広告レイヤーを危険にさらして始まることを指摘します。一度注入されると、悪意のあるスクリプトはウォレット接続プロンプトの表示、悪意のある承認要求の挿入、またはユーザーを偽インターフェースにリダイレクトするなどのアクションを実行できます。
この事件を受けて、CoinMarketCapユーザーは引き続き警戒を強いられ、オンラインで遭遇するウォレットプロンプトはすべて確認するよう促されています。セキュリティ専門家は、公式ウォレットアプリのみを使用し、自動トークン承認を無効にし、revoke.cashのようなツールを利用してウォレットのアクティブな許可を見直すことを推奨しています。
MetaMaskおよびその他のウォレットも、これらの攻撃を事前に検出しブロックするため、警告システム、ブラウザフラグ、AI駆動検出を強化し始めています。
一方で、暗号業界は、データプラットフォーム間のより良いセキュリティ標準と責任ある開示メカニズムを推進し続けています。2020年以来Binanceが所有するCoinMarketCapは、インフラストラクチャが世界で最も訪問されている暗号データプラットフォームとしてのステータスに見合っているかについて、より一層厳しい監視を受けています。
業界の反応
この事件は、暗号コミュニティ全体で、攻撃がどのように発生したのか、そして将来に向けてどのような予防措置が取られるのかについてのCoinMarketCapのより良い透明性を求める声を引き起こしました。
セキュリティ研究者はまた、浮上する脅威に関する情報を共有するための業界全体の協力の重要性を強調しました。分散型エコシステムでは、安全性の責任は単にユーザーにあるだけではなく、プラットフォームやインフラストラクチャプロバイダーに対しても脅威をリアルタイムで検出し、コミュニケートし、抑制する責務があります。
一部の業界観察者はまた、高プロファイルな攻撃が広範な暗号業界に与える評判上のリスクも指摘しました。特にメインストリーム採用と規制の注目が増している時期においては。
CoinMarketCapのフィッシングポップアップの迅速な削除は、対応の速さを示しているものの、攻撃は暗号業界のウェブインフラストラクチャにおける継続的な脆弱性を浮き彫りにしました。調査が続く中、ユーザーとプラットフォームは共に資産損失を防ぎ、信頼を維持するために、積極的なセキュリティ、迅速な対応プロトコル、ユーザー教育の重要性を思い出させられています。