ブロックチェーン悪用のサイバー攻撃が急増、前年比5.2倍　国家関連活動が拡大＝チェイナリシス

ブロックチェーンの特性を悪用

ブロックチェーン分析企業チェイナリシス（Chainalysis）は17日に公開した最新レポートで、ブロックチェーンを利用して阻止が困難なサイバー攻撃を仕掛けるケースが急増していると指摘した。同社はこの攻撃手法を「ブロックチェーン・デッドドロップ（BDD）」と呼んでおり、高度化と普及が進む中で脅威も増大していると警鐘を鳴らしている。

デッドドロップはスパイ用語で、直接会わずに情報や物資を受け渡すための「秘密の隠し場所」を意味する。この手法では、中央集権型サーバーの代わりに、当局による停止・封鎖が難しく、記録の改ざんや削除も困難なブロックチェーンを、攻撃者がマルウェアの指令を隠す場所として利用する。

BDDでは、ブロックチェーン上のトランザクションやスマートコントラクトの中に、マルウェアのペイロード（攻撃用コードなど）やC2（指令・制御）情報、攻撃インフラへのポインターなどを保存し、感染した端末を攻撃者の最新のインフラへ誘導する。端末が必要な情報を取得した後は、実際の攻撃はオフチェーンで実行される。

BDDについてチェイナリシスは、攻撃の破壊力ではなく、攻撃キャンペーンの持続性の高さこそが主な脅威だと強調する。

同社の調査によると、BDD活動は過去12カ月で420％増加した。さらに中国製の高性能なオープンソースAIモデルの登場後は、悪意あるオンチェーン書き込みが1日平均約2.06回から11.1回へと増え、1年足らずで約440%の急増を記録したという。

BDDは当初、主にサイバー犯罪者が利用していたが、チェイナリシスは近年、国家と関連する攻撃者による利用が拡大していると分析する。2026年第2四半期（Q2）には、国家関連グループが新たに確認されたBDD活動のおよそ3分の2を占め、BDD活動全体でも約半分に達したという。

同社は今回、北朝鮮とイランの国家関連攻撃者、ロシア語圏のサイバー犯罪者による3つの事例を紹介している。

北朝鮮、3つのブロックチェーンを利用

北朝鮮のグループは、攻撃者が偽の採用担当者を装い、被害者に悪意のあるペイロードをダウンロードさせる「EtherHiding」として知られる攻撃手法を利用していた。さらに、TRONとAptosにポインタを埋め込み、最終的にBNBスマートチェーン上の暗号化されたトランザクションへ誘導する新たな手法も確認された。攻撃者がBNBスマートチェーン上で新たな取引を公開すると、すでに感染している端末が自動的に最新情報を取得する仕組みとなっている。

チェイナリシスは、攻撃を阻止するには3つのブロックチェーンすべてに同時に対処する必要があると説明している。

イラン情報省との関連が疑われる攻撃者については、ビットコインの取引データにC2インフラの情報を埋め込む手法が確認された。攻撃者が管理するウォレットから特定のアドレスに少額を送金し、その取引に情報を埋め込んで保存する。

このアドレスはサトシ・ナカモトと関連性があるとされており、攻撃者自身が管理するアドレスではない点が特徴だ。感染端末はブロックチェーン上の取引を参照し、埋め込まれた情報を復号してC2インフラを特定する。

ロシア語圏の犯罪グループについて、レポートはポリゴン上のスマートコントラクトをC2の参照先として利用する事例を紹介した。

AIが参入障壁を下げる

チェイナリシスは、BDDが広がった背景の一つとして、オープンソースAIモデルの普及を挙げている。従来、ブロックチェーンを攻撃インフラとして利用するには、サイバーセキュリティと仮想通貨に関する高度な知識が必要だった。

しかし、2025年半ば以降、中国発のオープンウェイトAIモデルなどが登場し、悪意のあるコードの生成に利用できるAIツールへのアクセスが広がったことで、こうした攻撃手法の技術的な参入障壁が大幅に低下したと同社はみている。これにより、経験の浅い攻撃者でも比較的容易にBDDを展開できるようになった。

現在、チェイナリシスは5つの主要なブロックチェーンと、12種以上のマルウェアにおけるBDD活動を追跡しており、より多くの攻撃者がより複雑なC2インフラを構築する状況となっている。

オンチェーン分析が防御の手掛かりに

チェイナリシスは、公開ブロックチェーンは安価に利用でき、停止や封鎖への耐性が極めて高いため、今後もBDDをサイバー攻撃に利用する攻撃者が増える可能性があると指摘する。

しかし、ネットワーク上でブロックチェーン関連の通信を一律に遮断することは現実的ではない。

例えば「イーサリアムの通信」を遮断しようとすれば、CloudflareやInfura、Alchemyなどが運営する正規のRPCエンドポイントまで遮断することになり、正当なウォレットやDeFiサービスにも影響が及ぶ。攻撃者が自らノードを運用すれば、こうした遮断自体を回避することもできる。

もっとも、ブロックチェーンの不変性は攻撃者にとっての利点であると同時に、活動を追跡しやすくする側面もあると同社は強調する。攻撃者が残すトランザクションの痕跡を分析することで、防御側は攻撃者の活動を把握し、より的確な対応につなげられるとしている。