要約：2025年12月、Trust Walletのブラウザ拡張機能の改ざんされたバージョンにより、2,520のウォレットアドレスが流出し、約850万ドル相当の暗号資産が盗まれました。
2025年12月、Trust Walletのブラウザ拡張機能バージョン2.68がソフトウェア供給チェーン攻撃により侵害されました。 悪意のあるバージョンの拡張機能がTrust Walletの通常の内部リリースプロセスを経ずにChrome Web Storeに掲載されました。
Trust Walletは、2,520の影響を受けたウォレットアドレスと約850万ドルの盗難暗号資産を特定しました。その後の調査により、改ざんされた拡張機能の配布方法や攻撃者がユーザーの資金にアクセスした経緯がより明らかになりました。
Trust Walletブラウザ拡張機能 v2.68事件のタイムライン
2025年12月24日、Trust Walletのブラウザ拡張機能の無許可バージョン（バージョン2.68）がChrome Web Storeに公開されました。これには、ユーザーの復号化されたシードフレーズを抽出し、それに基づいて秘密鍵を導き出す悪意のあるコードが含まれていました。
従来のフィッシング攻撃とは異なり、これはユーザーを騙して悪意のある取引を承認させるのではなく、改ざんされた拡張機能内で直接コードが動作しました。ユーザーが12月24日から26日の間に拡張機能を開き、ウォレットにログインすると、悪意のあるコードが敏感なウォレット情報を収集し、攻撃者が管理するサーバーに送信しました。これにより、攻撃者は所有者の承認を得ることなく、影響を受けたウォレットにアクセスし資金を移動できました。
最初の公の兆候は12月25日に現れ、ブロックチェーンの研究者たち（ZachXBTを含む）がTrust Walletのアドレスからの疑わしい送金を特定しました。Trust Walletはその後、事件を認め、バージョン2.69をリリースし、ユーザーにバージョン2.68の使用停止を指示しました。
攻撃の経緯
Trust Walletは後に、この事件を2025年11月の業界全体にわたるSha1-Hulud供給チェーン攻撃と高い確信を持って関連付けました。攻撃者は、ウォレット自体の脆弱性を突くのではなく、Trust Walletのソフトウェア開発過程で使用されるシステムを侵害しました。
Sha1-Huludキャンペーンは、ソフトウェア開発者が使用する再利用可能なJavaScriptコードのnpmパッケージを改ざんし、企業を標的にしました。Trust Walletによると、攻撃者はGitHubに保存されていた開発者の資格情報にアクセスし、ブラウザ拡張機能のソースコードとChrome Web Storeへの公開キーにアクセスできる状態にしました。
このアクセスを利用して、攻撃者は改ざんされた拡張機能のバージョンを作成し、Trust Walletの通常のリリースプロセスを経ずにChrome Web Storeに提出しました。また、攻撃者は悪意のあるコードを埋め込んだ拡張機能をホストするために独自のドメインも登録しました。改ざんされたバージョンはChrome Web Storeの審査に合格しましたが、Trust Walletの内部審査や承認手続きを回避しました。
誰が影響を受けたか？
この攻撃は、特定のブラウザ拡張機能のバージョンを使用していたユーザーに限定され、比較的短期間にわたって行われました。
影響を受ける可能性のあるユーザーは次の通りです：
- Trust Walletブラウザ拡張機能v2.68を使用していた場合
- 拡張機能を開き、
- 2025年12月24日から26日11:00 UTCまでにログインした場合
Trust Walletによると、次のユーザーは影響を受けていません：
- Trust Walletモバイルアプリのユーザー
- バージョン2.68以外のブラウザ拡張機能のユーザー
- 12月26日11:00 UTC以降に初めて開き、ログインしたv2.68ユーザー
- ブラウザ拡張機能内でセキュリティインシデントのバナーを見なかったユーザー
損失額は最大850万ドルに達する
最終的に、Trust Walletは2,520の影響を受けたウォレットアドレスを特定し、そのうち約850万ドル相当の暗号資産が盗まれました。資金は、攻撃者が管理する17のアドレスに関連付けられています。
Trust Walletは、これらの17の攻撃者管理アドレスは、Trust Walletの事件とは無関係のウォレットから盗まれた資産も受け取っていたと指摘しています。したがって、それらの活動すべてがこの特定の攻撃に起因しているわけではありません。
Scorechainによる別のオンチェーン分析では、盗まれた資産は迅速に複数の中継ウォレットに分割され、その後、一部はスワップサービスや異なるブロックチェーンを経由して移動され、追跡が難しくなっています。
Trust Walletの対応
侵害を確認した後、Trust Walletは改ざんされた拡張機能を検証済みのクリーンなバージョンにロールバックし、v2.69としてリリースしました。影響期間中にv2.68を通じてログインしたユーザーには、残っている資産を新しいシードフレーズのウォレットに移すように案内しました。改ざんされた拡張機能を通じて露出したウォレットは、永久に安全ではないとみなす必要があります。
Trust Walletはまた、影響を受けたユーザーへの補償を約束し、所有権を証明する申請者に対してクレーム手続きを導入しました。2026年7月の最新の公開アップデートでは、個別に審査が続けられており、5,000件以上のクレームと2,520の確認された影響アドレスが受理されていることから、多くの申請は重複または不正の可能性が示唆されています。
事件後、Trust Walletは公開資格情報を取り消し、展開権限を制限し、ソフトウェアリリース、アクセス管理、監視、インシデント対応の管理体制を強化しました。
Trust Walletハッキングからの教訓
この事件の注目すべき点は、ユーザーが公式のソフトウェアアップデートを通じて侵害されたことです。シードフレーズを開示したり、フィッシングサイトを訪問したり、詐欺的な取引を承認したりする必要はありませんでした。単に改ざんされた拡張機能を開き、ロックを解除するだけで、ウォレットの資格情報が漏洩しました。
この事件は、私たちの 2025年のnpm攻撃に関する以前の調査で議論されたサプライチェーンリスクの実例を示しています。攻撃者はTrust Walletの暗号技術を破る必要も、何千人ものユーザーを個別に標的にする必要もありませんでした。開発者資格情報とリリースアクセスを取得することで、悪意のあるソフトウェアをTrust Walletの名前で公式Chrome Web Storeを通じて配布できました。
ユーザーにとってのより広い教訓は、セルフカストディはソフトウェアリスクを排除しないということです。ブラウザ拡張やその他のホットウォレットは、インターネットに接続されたデバイス、ソフトウェアのアップデート、開発システムに依存しており、そのいずれかが侵害される可能性があります。これらは日常の取引には便利ですが、大きな長期保有資産は、秘密鍵をオフラインに保ち、取引内容を独立して検証できるハードウェアウォレットに隔離する方が安全です。
個人のセルフカストディ設定を強化する方法
再度申し上げますと、ソフトウェアやブラウザウォレットは、せいぜいポケットマネー程度の資産を保持すべきです。これらのツールは便利ですが、同時に資金を盗もうとする脅威者にとっても格好の標的です。潜在的なソフトウェアの脆弱性の数は膨大であり、インターネットに接続されたデバイスは完全に安全と考えるべきではありません。個人からの成功した暗号盗難の大半は、まさにこれらのホットウォレットに起因しています。
実用的なルールとして、暗号資産が約1,000ドルを超える場合は、専用のハードウェアウォレットを購入し利用してください。これにより、秘密鍵や取引署名の能力が、マルウェアにアクセスされやすいインターネット接続されたコンピュータやスマートフォンではなく、別のデバイス内に保持されます。
最新のハードウェアウォレットは比較的手頃で、使いやすさも向上しています。エントリーレベルのデバイスとしては、Trezor Safe 3やLedger Nano S Plusなどがあり、ほとんどのユーザーのニーズを満たします。プレミアムモデルや大型タッチスクリーンや改良されたエルゴノミクス、追加の便利機能を備えたモデルもありますが、入門モデルでも基本的な分離を確立するには十分です。
どのモデルを選んでも、必ずハードウェアウォレットの画面上で宛先アドレスと取引詳細を確認してください。ハードウェアウォレットは、侵害されたコンピュータから秘密鍵を抽出されるのを防ぎますが、悪意のある取引を確認せずに承認すると保護できません。
ベトナムに在住または訪問予定の方は、BitcoinVN Shopの同僚が、Trezor、Ledger、Keystoneなどの正規ハードウェアウォレットを幅広く取り扱っています。現地購入は、輸入に伴う手間や遅延、リスクを避けるのに便利です。
注文は、サイゴン本社やダナンショールームから直接受け取ることも可能です。これにより、名前や住所を配送先に登録せずに済み、データ最小化の方針の一環として推奨しています。
さらに、ショップでは、“災害耐性”のスチールバックアッププレートも販売しており、シードフレーズを安全に記録できます。紙やデジタルバックアップと異なり、火災や洪水などの物理的損傷に耐えるよう設計されています。
デジタル資産の安全確保のための専門支援を受ける
デジタル資産の保護に本気で取り組みたい場合、私たちのチームは10年以上にわたり、それらの安全な保管と管理に関する経験を積んできました。世界最長の暗号通貨取引所の一つとして、日々新たなサイバー脅威に対抗し、分析・防御を行っています。
その結果、私たちは豊富な専門知識を持ち、個別のセルフカストディコンサルティングサービスを提供しています。
経験豊富なサイバーセキュリティの専門家が、あなたの状況に合わせたアドバイスを行い、質問に答え、最適な設定について相談に乗ります。セルフカストディの自由と責任を伴う資産管理でよくある落とし穴を避けるためにサポートします。
大量のビットコインを安全に管理するには – マルチベンダーマルチシグ必須
「成功」し、個人ポートフォリオの大部分を「地味だが予測可能な」ビットコインに割り当ててリスクを低減したら、単一署名の設定はもはや十分ではありません。
前述の Coldcardの失態が示すように、単一点の故障は稀であっても、最終的には現実のものとなります。災害が起きたときに備え、Bitcoin資産の「世代を超えた保管」を失わないように準備しましょう。
堅牢なマルチベンダーマルチシグ設定は、複数の潜在的な単一点の故障に対して防御します：鍵の紛失、ハードウェアの欠陥や改ざん、または一つの鍵のセキュリティが「決定的な要素」となるシナリオです。
マルチベンダーマルチシグは、この単一経路依存を排除し、より堅牢で寛容な管理体制を実現します。さまざまな低確率・高影響の「異常事故」シナリオに耐えられる設計です。
ただし、マルチシグは正しく設計・実装・バックアップされる必要があります。不適切な構成は、新たな故障点を生み出す可能性があります。
私たちのチームは、あなたの状況に合わせた適切なマルチベンダーマルチシグ構築について、専門的なアドバイスを提供します。詳しくはこちらでご相談ください。
