$3B 脅威：コーディングライブラリのマルウェアが今やEthereumスマートコントラクトを標的に

暗号資産エコシステムは、サイバーセキュリティ企業ReversingLabsが高度な攻撃ベクトルを暴露したことで、危機的状況に直面しています。脅威アクターはオープンソースのNPMパッケージを武器にして、Ethereumスマートコントラクトに直接マルウェアを注入しています。この発見は、ブロックチェーンインフラに対するサプライチェーン攻撃の危険な進化を示しています。

DeFiの脆弱性の拡大：2025年の$3B 被害

脅威の規模は驚くべきものです。Global Ledgerのブロックチェーン分析によると、ハッカーは2025年前半だけで119件の事件で$3 十億ドルを盗み出しており、2024年全体と比較して150%増加しています。この被害は、DeFiプロトコルがいかに相互に連結し、共通の脆弱性を突いた協調攻撃の容易なターゲットとなっているかを反映しています。

このリスクを示す顕著な事例として、7月に攻撃者がBaseブロックチェーン上のArcadia FinanceのRebalancerコントラクトを侵害し、スワップパラメータを操作して250万ドルを流出させた事件があります。この事件は、セキュリティのギャップが存在する場合、確立されたプロトコルでさえ大きなリスクにさらされることを示しています。

NPMマルウェアキャンペーン：ZankiとReversingLabsが明らかにした攻撃の全貌

ReversingLabsの研究者Karlo Zankiの7月初旬の調査により、恐ろしいパターンが明らかになりました。脅威アクターは、一見正当なNPMパッケージに悪意のあるコードを偽装して埋め込み、最も危険なバリアントとしてcolortoolsv2とmimelib2が7月にアップロードされていました。

これらのパッケージは、最大のステルス性を追求した二ファイル構造で動作します。主要なコンポーネントはindex.jsというスクリプトで、インストールされると隠された悪意のあるペイロードを含み、開発者のプロジェクト内でアクティブになります。このキャンペーンの前例のない点は、マルウェアの配信メカニズムにあります。従来のコマンド＆コントロールサーバーを使わず、Ethereumスマートコントラクトを利用して二次段階のマルウェアのURLを保存・取得しているのです。

このアプローチは、ブロックチェーンの不変性と分散性を悪用し、従来のセキュリティスキャンを回避しています。

フェイクSolanaボット：偽の正当性が開発者を騙す仕組み

研究者たちは、solana-trading-bot-v2とラベル付けされた侵害されたGitHubリポジトリを発見しました。このリポジトリには悪意のあるcolortoolsv2パッケージが含まれていました。一見信頼できるように見えたこのリポジトリは、何千ものコミット、多数のアクティブな貢献者、そして多くのスター数を誇っていましたが、すべては人工的に構築されたものでした。

このパッケージをインストールした開発者は、知らず知らずのうちに攻撃者にユーザウォレットへのアクセスを許可し、すべての資金を流出させる可能性があります。この攻撃は、偽の正当性を持つリポジトリ、難読化されたマルウェアコード、そしてブロックチェーンを利用したコマンド配信の三層の詐欺を組み合わせています。

なぜスマートコントラクトが攻撃インフラになったのか

この革新は、攻撃者の手法の変化を示しています。従来のC2インフラは排除されやすい脆弱性を持っていましたが、今や脅威アクターはEthereumスマートコントラクトを恒久的で検閲抵抗性のあるマルウェア配信ネットワークとして利用しています。ブロックチェーンの分散性により、法執行機関の介入に関わらずこれらのコマンドセンターは稼働し続けるのです。

AMLBotのCEO Slava Demchukによると、アクセス制御の脆弱性やスマートコントラクトの設計上の欠陥が依然として主要な攻撃ベクトルです。DeFiプロトコルの構成可能なアーキテクチャは被害を拡大させ、攻撃者が複数のプラットフォームにまたがるエクスプロイトを連鎖させることを可能にしています。

誰も準備できていないサプライチェーン絶滅イベント

より広い背景として、2025年はNPMキャンペーンの爆発的増加を目撃しています。colortoolsv2に加え、研究者は3月にethers-provider2とethers-providerzパッケージを発見し、その後も多くの情報窃盗ツールやダウンローダー、ドロッパーが年間を通じて見つかっています。

これらの新しいマルウェアバリアントは、脅威アクターが個々のユーザーを狙うだけでなく、開発パイプライン自体を侵害する方向にシフトしていることを示しています。1つの悪意あるパッケージが何千ものプロジェクトに侵入し、オープンソースリポジトリを配布の媒介に変えているのです。

開発者が今すぐすべきこと

セキュリティ監査人は、重要な行動として次の点を強調しています：外部ライブラリを導入する前に、パッケージの出所、貢献者の履歴、コードの真正性を徹底的に評価すること。オープンソースをデフォルトで信頼する時代は終わりました。

ReversingLabsの発見は、Ethereumのスマートコントラクトがもともと信頼不要のインフラとして設計されたにもかかわらず、まったく異なる方法で信頼不要になったことを示しています。攻撃者はこれらを恒久的なマルウェア配信チャネルとして悪用し、ブロックチェーンの不変性により一度展開されると削除できないことを知っています。