2023年ブロックチェーンセキュリティおよびマネーロンダリング対策年次レポート クイックレビュー
TechFlow厳選深潮セレクト
2023年ブロックチェーンセキュリティおよびマネーロンダリング対策年次レポート クイックレビュー
本レポートでは、2023年にかけてのブロックチェーン業界における主要な規制・コンプライアンス政策および動向を振り返る。
Web3業界の深掘り報道に専念し潮流を洞察執筆：マンミスト AML チーム
マンミスト・テクノロジーは『2023 ブロックチェーンセキュリティおよびアンチマネーロンダリング年次報告書』を発表しました。本レポートが読者の皆様に有益な情報を提供し、業界関係者やユーザーの皆様がブロックチェーンのセキュリティ状況とソリューションをより包括的に理解できるよう支援し、ブロックチェーンエコシステムの安全性促進に貢献することを願っています。掲載スペースの制約により、ここでは分析レポートの主要な内容のみを紹介いたします。詳細な内容についてはこちらのリンクをご覧ください。
一、概要
2023年は、ブロックチェーン業界にとって刺激的かつ不安定な一年でした。こうした背景のもと、本レポートでは2023年のブロックチェーン業界における主要な規制コンプライアンス政策と動向を振り返り、同年のブロックチェーンセキュリティインシデントおよびアンチマネーロンダリング（AML）の状況をまとめ、一部のマネーロンダリングツールについて統計を取り、典型的なセキュリティインシデントおよび典型的なフィッシング詐欺の手口を詳細に分析し、予防策および提言を行います。さらに、Web3アンチスカムプラットフォーム「Scam Sniffer」にフィッシンググループ「Wallet Drainers」に関するコンテンツを寄稿してもらい、ハッカーグループ「Lazarus Group」のマネーロンダリング手法および獲得資金についても分析および統計を行いました。
二、ブロックチェーンセキュリティの状況
マンミストのブロックチェーンハッキング事件アーカイブ（SlowMist Hacked）によると、2023年のセキュリティインシデントは合計464件で、損失額は24.86億ドルに達しました。2022年（合計303件、損失額約37.77億ドル）と比較すると、損失額は34.2%減少しています。
-
ブロックチェーンセキュリティインシデントの概要
プロジェクトの分野別に見ると、DeFiは依然として最も攻撃を受けやすい領域です。2023年のDeFiセキュリティインシデントは282件で、全インシデント数の60.77%を占め、損失額は7.73億ドルに達しました。2022年（183件、損失額約20.75億ドル）と比較すると、損失額は62.73%減少しています。
（2023年 各分野におけるセキュリティインシデントの分布および損失）
（2022年および2023年 DeFiセキュリティインシデントの分布および損失の比較図）
エコシステム別に見ると、Ethereumの損失額が最も高く、4.87億ドルに達しました。次いでPolygonで1.23億ドルです。
（2023年 各エコシステムにおけるセキュリティインシデントの分布および損失）
インシデントの原因別に見ると、「Rug Pull（悪意による資金持ち逃げ）」が最も多く、117件で、損失額は約8300万ドルでした。次いでアカウントがハッキングされたことによるセキュリティインシデントです。
（2023年 セキュリティインシデントの手法図）
-
典型的な攻撃インシデント
このセクションでは、2023年に損失額が上位10に入ったセキュリティインシデントを紹介します。詳細は文末のPDFファイルをご覧ください。
（2023年 損失額トップ10のセキュリティ攻撃インシデント）
Rug Pull
マンミストのブロックチェーンハッキング事件アーカイブ（SlowMist Hacked）によると、2023年のRug Pull（悪意による資金持ち逃げ）は117件発生し、損失額は約8300万ドルに達しました。その中でBaseエコシステムの損失額が最も高く、3250万ドルでした。次いでBSCエコシステムで2305万ドルです。
（2023年 損失額トップ10のRug Pullインシデントおよび損失）
（2023年 各エコシステムにおけるRug Pullインシデントの分布および損失）
Rug Pullとは、プロジェクト運営側が悪意を持って行う詐欺の一種で、複数の形態があります。たとえば、プロジェクト側が初期流動性を供給し、価格を吊り上げた後に流動性を引き揚げる行為。あるいは、暗号資産プロジェクトを立ち上げ、マーケティング活動を通じて投資家を誘い込み、適当なタイミングで突然投資資金を持ち逃げし、暗号資産を売却して姿を消す行為。また、数十万ドルの預金を集めた後でサイトを閉鎖するケースや、プロジェクトコード中にバックドアを残しておくケースもあります。いずれの場合でも、すべてのタイプのRug Pullは投資家に損失をもたらします。
同時に、本セクションではコントラクトのストレージから発生する極めて巧妙なRug Pullの事例を紹介します。トークンの増発記録が一切ないにもかかわらず、悪意あるユーザーが未記録の大量増発トークンを使用してプール内の資金を持ち去ったケースです。
詐欺
近年、暗号資産市場は詐欺師たちが詐欺を行う肥沃な土壌となっています。詐欺師はよく偽アカウントを使って有名人になりすましたり、恋愛関係を装って投資を勧める「ロマンススキャム」や、虚偽の取引所を宣伝したり、ピラミッドスキームなどを行います。技術の進歩とともに、AIソフトウェアを利用してより説得力のある詐欺を仕掛けることもあります。本セクションでは、主に香港で発生した暗号資産詐欺事件——JPEX事件について紹介します。関連情報によれば、JPEXの破綻は香港史上最大の金融詐欺事件となる可能性があります。
（JPEX事件タイムライン図）
-
フィッシング／詐欺の手口
このセクションでは、2023年に我々が公開したフィッシング／詐欺の手口の一部を紹介します：
6、Create2フィッシングリスク (https://drops.scamsniffer.io/post/wallet-drainers-starts-using-create2-bypass-wallet-security-alert)
三、アンチマネーロンダリング（AML）の状況
本セクションは、アンチマネーロンダリングおよび規制動向、セキュリティインシデントにおけるマネーロンダリング、ハッカーグループのプロファイリングおよび動向、マネーロンダリングツールの四つの部分に分けられます。
-
アンチマネーロンダリングおよび規制動向
2023年、暗号資産の世界は依然として動乱の中にありました。前回の暗号資産バブル期間中、SBFおよびCZという二人の業界大物の行動は市場に大きな影響を与えていました。しかし11月、連邦陪審員はFTX崩壊に伴う詐欺および共謀の罪でSBFを有罪判決しました。それから数週間後、バイナンスは起訴を受け入れ43億ドルの罰金を支払い、CZもバイナンスの支配権放棄に同意しました。暗号資産業界が厳しい「冬」と熊相場の中で浮き沈みする中、各国政府および国際機関もより慎重な姿勢を見せ、各国の暗号資産に対する規制政策は徐々に形成されつつあります。具体的な政策および執行措置については文末のPDFをご覧ください。
-
セキュリティインシデントにおけるマネーロンダリング
1、資金凍結データ
InMistインテリジェンスネットワークパートナーの全面的な協力のもと、2023年度、SlowMistは顧客、パートナーおよび公にされたハッキング事件に関連して、累計1250万ドル以上の資金を凍結する支援を行いました。
2、資金返還データ
2023年、攻撃を受けた後でも損失資金を完全または一部取り戻せたインシデントは31件ありました。これらの31件のインシデントにおいて、盗難資金は総額約3.84億ドルで、うち2.97億ドルが返還され、盗難資金の77%に相当します。この31件のインシデントの中には、資金が全額返還されたプロトコルが10件ありました。
（2023年 全額盗難資金が回収されたインシデント）
-
ハッカーグループのプロファイリングおよび動向
1、ハッカーグループ Lazarus Group
2023年の公開情報によると、6月までに北朝鮮のハッカー集団Lazarus Groupによる重大な暗号資産盗難事件は一つも報告されていませんでした。チェーン上の活動から見ると、北朝鮮のハッカー集団Lazarus Groupは主に2022年に盗んだ暗号資産資金の洗浄に集中しており、これには2022年6月23日のHarmonyクロスチェーンブリッジ攻撃で約1億ドルが失われた事件も含まれます。Lazarus Groupは2022年に盗んだ資金の洗浄以外にも、他の時間帯も休まず、暗黒の中でAPT（Advanced Persistent Threat）関連の攻撃活動を密かに続けていました。これらの活動は、6月3日から始まった暗号資産業界の「暗黒の101日間」を直接引き起こしました。
「暗黒の101日間」の間に、合計5つのプラットフォームが被害に遭い、盗難額は3億ドルを超え、被害対象は多くが中央集権型サービスプラットフォームでした。
私たちの分析によると、北朝鮮のハッカー集団Lazarus Groupのマネーロンダリング方法も時代とともに進化しており、一定期間ごとに新しい洗浄方法が登場しています。マネーロンダリング手法の変遷タイムラインについては文末のPDFをご覧ください。
2、フィッシンググループ Wallet Drainers
注：本小節はScam Snifferが特別に寄稿したものであり、ここに感謝申し上げます。
Wallet Drainerは暗号資産関連のマルウェアとして、過去1年間で著しい「成功」を収めました。これらのソフトウェアはフィッシングサイトに配置され、ユーザーに悪意ある取引を承認させることで、暗号資産ウォレット内の資産を盗み出します。このようなフィッシング活動はさまざまな形態で一般ユーザーを攻撃し、多くのユーザーが無意識のうちに悪意ある取引を承認した結果、重大な財産的損失を被っています。過去1年間、Scam Snifferが監視したところによると、これらのWallet Drainersは約32万人の被害者からほぼ2.95億ドルの資産を盗み出していました。
特に注目すべきは、3月11日に約700万ドルが盗まれたことです。これは主にUSDCの為替変動に伴い、Circleを装ったフィッシングサイトが原因でした。また、3月24日頃のArbitrumのDiscordハッキングおよびその後のエアドロップの時期にも多数の盗難が発生しています。
各ピーク時における盗難は、関連する集団的イベントと一致しています。エアドロップやハッキング事件などが該当します。
ZachXBTがMonkey Drainerを暴露した後、彼らは6ヶ月の活動を経て引退を宣言し、その後Venomがその大部分の顧客を受け継ぎました。続いてMS、Inferno、Angel、Pinkも3月頃に登場しました。Venomが4月頃にサービスを停止した後、ほとんどのフィッシンググループは他のサービスに移行しました。Drainerの料金が20%であることを考慮すると、彼らはサービス販売によって少なくとも4700万ドルの利益を得たと推定されます。
-
マネーロンダリングツール
1、Sinbadミキサー
2、Tornado Cash
3、eXch
4、Railgun
四、まとめ
本レポートでは、2023年のブロックチェーン業界における主要な規制コンプライアンス政策および動向、例えば世界規模での暗号資産に対する規制姿勢および一連の重要な政策変更についてまとめました。同時に、2023年のブロックチェーンセキュリティインシデントおよびアンチマネーロンダリングの動向をまとめており、一部のマネーロンダリングツールの分析を行い、典型的なセキュリティインシデントおよびフィッシング詐欺の手法について解説し、それに対応する防止および対応策を提案しています。本レポートが読者の皆様に価値ある情報を提供し、ブロックチェーン業界のセキュリティおよびアンチマネーロンダリングの現状をより包括的に理解する助けとなり、すべての業界関係者がその恩恵を受け、ブロックチェーンエコシステムの安全な発展に貢献できることを願っています。
TechFlow公式コミュニティへようこそ
Telegram購読グループ：https://t.me/TechFlowDaily
Twitter公式アカウント：https://x.com/TechFlowPost
Twitter英語アカウント：https://x.com/BlockFlow_News
@SlowMist_Team
