暗号通貨詐欺：どのように暗号通貨が盗まれ、資金を取り戻すことは可能か？

ここ数年、暗号資産市場では詐欺の手口が急増しています。その中でも特に一般的なのが、暗号通貨ドレイナーです。これは、悪意のある者が被害者のウォレットから資産を引き出すためのツールです。暗号通貨ドレイナーがどのように機能し、どのように自分の資金を守ることができるのか、弁護士である「ヴァシル・キシリとパートナー」のマルコ・ホロヴァチが解説します。

典型的な詐欺シナリオ

最も一般的なドレイナーの実装例は、エアドロップやNFTキャンペーンです。ここでは、ユーザーに数回のクリックで資産を受け取ることが提案されます。そのためには、ウォレットを接続し、実際には資金へのアクセスを開くか、即座に資金を引き出すメカニズムを起動するトランザクションを確認する必要があります。

同様の論理で、著名なサービスの偽サイトが使用されます。これらのリソースは、視覚的にはオリジナルを完全に模倣することができ、ドメインやインターフェースのわずかな違いに過ぎません。その結果、ユーザーは脅威を特定できず、合法的なリソースとして相互作用します。

さらに、悪意のある者は情報源への信頼を利用します。これは、ソーシャルメディアやプロジェクトのコミュニティでアカウントが侵害され、悪意のあるリンクが広まることを指します。このようなメッセージは、著名なプロジェクトからのものであるかのように見えるため、安全なものとして受け取られるリスクが大幅に増加します。

特に注目すべきは、いわゆる承認スキームです。この場合、ユーザーはすぐに資金を失うのではなく、スマートコントラクトに将来的に資産を管理する権利を与えるトランザクションに署名します。実際には、こうしたメカニズムは偽の交換所や擬似DeFiサービスで頻繁に使用されます。承認に署名した後、悪意のある者は単にウォレットに資産が送られるのを待ち、残高が増加した後に、ユーザーの追加の確認なしに自動的に資金を引き出します。そのため、被害者は自分の資産へのアクセスがすでに第三者に渡っていることに気づかない場合があります。

より複雑なシナリオでは、偽のDeFiプラットフォームや投資サービスが使用され、実際のブロックチェーンプロトコルとの相互作用を模倣します。しかし、最終的な結果は同じです --- ユーザーは自らの資産へのアクセスを提供し、その後、資産は悪意のある者が制御するアドレスに引き出されます。

盗まれた資金の流れを示す図

盗まれた資金を追跡することは可能か？

詐欺師に有利に働く主要な神話の一つは、暗号通貨の完全な匿名性に関する誤解です。実際には、ほとんどの公開ブロックチェーン、特にEthereumは完全な透明性の原則に基づいて機能しています。すべてのトランザクション、アドレス、資産の動きは公開されたレジストリに保存されています。これは、盗難が発生した後、資金が消えるのではなく、追跡可能な形で動き続けることを意味します。

このことに基づいて、アドレス間の関係を特定し、資産の流れを追跡するためのブロックチェーンデータの分析が行われます。実際には、2つの基本的なアプローチが使用されます。

まず、アドレスのクラスタリングです。これは、異なる暗号アドレスを、1人または1つのサービスによって制御されている可能性が高い条件付きグループに統合することを指します。これは、資金の共同使用、トランザクションの性質、特定のスマートコントラクトとの相互作用などの行動パターンに基づいて行われます。その結果、ばらばらなアドレスのセットの代わりに、より一貫した全体像が形成されます。

次に、資金の流れを追跡します。事件後、資産がどこに移動したのか、どのように分割されたのか、他のサービスを経由したのかを示すトランザクションのチェーンが構築されます。このような分析により、資金が集中化されたインフラに入る場所など、重要なポイントを特定することができます。

これには、ChainalysisやTRM Labsなどの専門ツールが使用されます。これらは、ブロックチェーンの技術分析と、取引所やサービス、以前に特定されたスキームのアドレスなどの独自のデータベースを組み合わせることで、資金の動きを視覚化するだけでなく、アドレスが誰または何と相互作用しているのかを理解することを可能にします。

重要な要素の一つは、資金を盗まれたものとしてマークすることです。これは実際にどのように機能するのでしょうか。事件が記録され、初期分析が行われた後、盗まれた資産を受け取ったアドレスや、スキームに使用されたアドレスが特定されます。これらのアドレスは、分析プラットフォームや中央集権的なサービス（例えば、暗号取引所）に渡されます。彼らのコンプライアンスシステムでは、これらのアドレスはリスクステータスを受け取ります。

その後、これらのアドレスまたは関連するクラスターからの資金がKYC手続きを持つプラットフォームに入ると、自動的に次のことが発生する可能性があります：

• 取引の追加確認;
• 操作の制限;
• 特定のケースでは、資産の一時的なブロック。

簡単に言えば、資産はマークされ、コンプライアンスサービスとの相互作用なしに使用することが難しくなります。また、合法化の試みはユーザーの特定リスクを高めます。

被害者にとって、これは非常に実用的な意味を持ちます。状況に応じて、この作業の結果は次のようになる可能性があります：

• 資金の流れの経路の特定;
• 資金が通過したサービスの特定;
• 資金が中央集権的な環境に入った瞬間の特定;
• これらのサービス側で資産のブロックを開始する可能性;
• 今後の法的手続きのための証拠の形成;
• 特定のケースでは、個人を特定するためのデータを取得できる可能性。

したがって、暗号トレーダーは無制限のイリュージョンを作り出しますが、ブロックチェーンの公開性により、資金の動きを追跡可能なプロセスに変えることができます。今後の結果は、この技術分析が法的手段によってどれだけ効果的に裏付けられるかに依存します。

公開ブロックチェーンにおける資金の動きは分析可能ですが、実際にはスキームの最終的な受益者を特定することは依然として難しい課題です。これは、悪意のある者が追跡のチェーンを複雑にしたり断ち切ったりするためのツールやアプローチを意図的に使用するためです。

そのようなツールの一つがミキサーです。ミキサーは、多くのユーザーの資金を混ぜ合わせることにあります：資産は共通のプールに集まり、その後、変更された構造で他のアドレスに出金されます。その結果、初期のトランザクションと最終的なトランザクションの間の直接的な関係は大幅に複雑化され、統計的なものになり、決定論的ではなくなります。分析にとっては、資金の動きのクリーンなチェーンを失い、確率モデルで作業する必要があります。

同様の効果は、クロスチェーンブリッジの使用によっても達成されます。この場合、資産はあるブロックチェーンから別のブロックチェーンに移動され（例えば、Ethereumから別のネットワークへ）、しばしば同時にその形態が変更されます（ラップトークンなど）。この移行は、追跡のための追加の断絶点を作成します。なぜなら、さらなる分析には異なるネットワークのデータの同期と、それぞれの特性を考慮する必要があるからです。

特に注目すべきは、いわゆるプライベート（匿名）暗号通貨の使用です。これらの通貨は、トランザクションの追跡を不可能または大幅に制限するようにブロックチェーンのアーキテクチャが構築されています。最も有名な例はMoneroです。

公開ネットワークとは異なり、Moneroの場合は、送信者と受信者、さらにトランザクションの金額を隠す技術が適用されます（特に、リング署名、ステルスアドレス、機密トランザクションなど）。実際には、データのオープン性に基づく古典的なブロックチェーン分析は、ここでは全く機能しないか、重大な制限があります。盗まれた資金がそのような資産に変換されると、さらなる追跡は大幅に困難になります。

もう一つの要因は、中央集権的な取引所の使用であり、これは二重の効果を持ちます。一方では、KYC手続きを持つプラットフォームに資金が入ると、ユーザーの特定の可能性が生まれます。もう一方では、悪意のある者はしばしば複数の取引所を連続して使用し、異なる法域で、または検証要件が緩いサービスを通じて資金を引き出します。これにより、痕跡が薄まり、迅速な対応が困難になります。

この問題には、法的な複雑さが直接関係しています。暗号取引はその性質上、特定の国家に依存していない一方で、取引所やサービスのユーザー情報へのアクセスは国家の法律に依存しています。その結果、必要なデータを取得するには以下が必要になる場合があります：

• 国際的な法的支援;
• 外国の規制当局との連携;
• 時間を要する手続きの遵守。

最後に、代理人（マネーミュールやドロップ）の使用が一般的な慣行です。このような場合、取引所や他のサービスのアカウントは、意図的または無意識にスキームに関与している第三者の名義で作成されます。これにより、直接の実行者と主催者の間に追加の隔離レベルが生まれ、彼らの役割を証明することが難しくなります。

したがって、技術的には資金を追跡する可能性がほとんどのケースで存在しますが、実際にはさまざまなツールや法的障壁に直面しています。これらの要因が特定の事件の複雑さと、関与する者の特定や被害者の利益を保護するために必要な行動の範囲を決定します。

​ブロックチェーン追跡の概念図

法的保護メカニズム

このようなスキームの技術的な複雑さにもかかわらず、暗号取引は徐々に法執行機関や司法制度にとってグレーゾーンではなくなりつつあります。ウクライナの実務には、こうしたスキームの主催者に対する刑事訴訟や、暗号資産の押収に関する裁判所の決定が含まれており、被害者を保護するための手続きメカニズムが徐々に形成されていることを示しています。

ほとんどのケースでの主要な手段は、刑事訴訟です。状況に応じて、行為は詐欺、情報システムへの不正介入、または電子計算機技術の使用に関する他の犯罪として分類される可能性があります。

この文脈で注目すべきは、2026年2月26日の判決です。この判決では、ドレイナーを使用したスキームが検討されました。事件の事実によれば、被害者はTelegramメッセンジャーを通じて資産をウォレットに転送し、架空の暗号通貨透明性確認サービスに接続するように説得されました。その後、悪意のある者はデジタル資産にアクセスし、それを引き出しました。ドレイナーのメカニズムが刑事訴訟に直接関与し、裁判所によって法的評価を受けているという事実が重要です。

暗号資産を財産として認識することの重要性も増しています。これにより、財産の押収、資産の保全、さらなる返還または特別没収の問題を解決するための従来の手続きメカニズムを適用することが可能になります。近年の裁判実務は、ウクライナの裁判所が仮想資産に対する押収の可能性にますます同意していることを示しています。

実際には、最も効果的なメカニズムの一つは、中央集権的な取引所に対して資産の凍結を要求することです。ブロックチェーン分析中に、盗まれた資金がKYC手続きを持つプラットフォームに入ったことが確認された場合、被害者側または法執行機関は、その資産に対する取引の制限を開始することができます。

取引所が常に同じように迅速に反応するわけではありませんが、事件を適切に文書化し、手続き文書が存在すれば、相互作用は十分に可能です。特に大規模な中央集権的プラットフォームに関しては。

これに加えて、保全のための法的手段も使用されます。特に、2024年から2026年にかけて、ウクライナの裁判所はBinance取引所のアカウントを通じて管理される暗号資産に対して押収命令を何度も出しています。特定のケースでは、裁判所は仮想資産の使用および処分を明示的に禁止し、関連するアカウントの機能をブロックしました。

実際には、デジタル資産に対する従来の資産差押えメカニズムの適応について述べています。これは、暗号通貨の移動速度を考慮すると特に重要です。迅速な措置が取られない場合、資産は複数の管轄区域を通じて移動したり、Moneroのような匿名の暗号通貨に変換されたりする可能性があり、その後の追跡が大幅に困難になります。

もう一つの重要な手続きメカニズムは、情報の要求です。刑事訴訟や国際的な協力の枠内で、以下の情報を取得することができます：

• ユーザーのKYCデータ；
• ログイン履歴とIPアドレス；
• 資産の動きに関する情報；
• 関連するアカウントや取引。

これらのデータは、匿名のアドレスから特定の個人に移行するためにしばしば重要になります。暗号インフラの大部分がウクライナの外にあるため、国際的な法的支援が重要な役割を果たします。実際の協力は、以下を含むことがあります：

• 外国の暗号取引所；
• ドメインレジストラ；
• ホスティングプロバイダー；
• 他国の法執行機関。

この段階がなければ、国境を越えたスキームの効果的な調査はしばしば不可能です。

したがって、暗号資産の特性やドレイナーの技術的複雑さにもかかわらず、現代の法的メカニズムは、盗難の事実を文書化するだけでなく、資産の追跡、ブロック、および潜在的な返還に関する実際の手続き行動を行うことを可能にしています。この分野の司法実務はまだ形成中ですが、すでに従来の法的手段がデジタル資産に適応していることを示しています。

被害者の行動アルゴリズム

暗号ドレイナーの場合、反応の速さが重要です。ブロックチェーン取引の特性により、資産は数分のうちに数十のアドレス間で移動する可能性があるため、事件後の最初の行動が追跡や資金のブロックの可能性に直接影響します。

まず、すべての取引と関連データを記録する必要があります。これは、ウォレットのアドレスや取引のTXIDだけでなく、以下の情報も含まれます：

• 接続されたリソースのスクリーンショット；
• ウェブサイトへのリンク；
• 通信；
• Telegram、Discord、またはXでのメッセージ；
• 行動の時間と順序に関する情報。

実際には、些細な詳細が後の分析や証拠の形成に重要な意味を持つことがあります。

同時に、できるだけ早く法的支援を求めることが望ましいです。このような事件では、資金の技術的な追跡だけでなく、最初の段階からの事件の適切な手続き的な文書化も重要です。弁護士を適時に関与させることで、以下が可能になります：

• ブロックチェーン分析を迅速に組織する；
• 証拠の基盤を準備し、記録する；
• 刑事訴訟を適切に開始する；
• 暗号取引所や他のサービスへの請願を準備する；
• このようなケースではしばしば致命的な時間の損失を最小限に抑える。

次のステップは、ブロックチェーン分析の実施です。その目的は、資産の移動経路を特定し、関連するアドレスを特定し、資金が中央集権的なサービスに到達したかどうかを確認することです。この段階が、資産のさらなる差押えやユーザーの特定の実際的な可能性があるかどうかを理解するのに役立ちます。

この際、詐欺リソースと再度関わらないことが重要です。実際には、被害者はしばしば取引をキャンセルしようとしたり、ウォレットを再接続したり、資金を取り戻すために役立つと思われる追加の行動を取ったりします。その結果、再度の危険にさらされたり、他の資産を失ったりする可能性があります。

また、以下のことを行うことが望ましいです：

• 権限を取り消す；
• ウォレットを疑わしいサービスから切断する；
• 残りの資産を新しいウォレットに移す。

その後、弁護士の参加のもとで、刑事訴訟が開始され、法執行機関とのさらなる協力が行われます。これらのスキームの複雑さや国境を越えた性質にもかかわらず、刑事訴訟は以下のための手続きメカニズムを提供します：

• 情報の要求；
• 国際的な法的支援；
• 資産の差押え；
• 暗号取引所や他のプラットフォームとの公式なコミュニケーション。

この複合体は、被害者の利益を守るための基盤を形成し、資産の潜在的な返還を可能にします。

資金を返還することは現実的か？

暗号資産の返還に関する普遍的な答えは存在しません。実際の見通しは、資金が盗まれた後に悪意のある者がどのように行動したか、資産のさらなる特定のためのポイントが残っているか、そして被害者がどれだけ早く対応を開始したかに依存します。

最も有利な状況は、盗まれた資金が中央集権型取引所（CEX）に流入する場合です。このような場合、資産が通過したプラットフォームを特定し、資金を凍結し、KYC手続きを通じてユーザー情報を取得する機会が生まれます。したがって、迅速な対応が重要です。ブロックチェーン分析が早く行われ、適切な要求が送信されるほど、資金がまだ引き出されていないか、他の資産に変換されていない可能性が高くなります。

資産の返還の見通しは、特定の個人を特定したり、アドレスと実際のアカウントとの関連を確立したりできる場合にも大幅に向上します。この場合、技術的な追跡だけでなく、資産の押収、情報の要求、刑事訴追、さらなる資産の回収といった完全な法的メカニズムの適用が可能になります。

一方で、資金の返還がはるかに困難になるシナリオも存在します。これは主に、資産がミキサー、DeFiプロトコル、またはクロスチェーンサービスを通過し、特にMoneroのような匿名の暗号通貨に変換される場合に該当します。このような状況では、取引のチェーンが部分的または完全に透明性を失い、従来のブロックチェーン分析の可能性が大幅に制限されます。

さらに、多数の中間アドレス、偽名アカウント、および外国の法執行機関との協力が最小限の管轄区域におけるサービスの使用が状況を複雑にします。

現代のドレイナーは、単なる偽のウェブサイトや単一のフィッシング攻撃に限定されることはますます少なくなっています。実際、古典的なサイバー犯罪、マルウェアのインフラストラクチャ、ブロックチェーンメカニズムを組み合わせたハイブリッドエコシステムが形成されています。これは、サイバーセキュリティの研究者、特にSOC Primeによっても指摘されています。

実際には、資金が最初に盗まれた後、悪意のある者は以下を使用することができます：

• マルウェア;
• 侵害されたブラウザ拡張機能;
• デバイスへのリモートアクセス;
• 自動化されたdrainer-as-a-serviceプラットフォーム;
• フィッシングリソースのネットワークおよびTelegramインフラストラクチャ。

その結果、被害者は単なる一度の資産の引き落としに直面するだけでなく、長期的な環境の侵害にも直面することがあります。したがって、インシデントの後に単にウェブサイトを閉じたり、新しいウォレットを作成したりするだけでは不十分であり、特定の状況ではデバイス自体をマルウェアやブラウザの侵害の有無を確認する必要があります。

さらに、現代のドレイナーはますますdrainer-as-a-serviceモデルで運営されることが多く、つまり実際には完成された犯罪インフラストラクチャとして機能します。一部の人々は技術的な部分を管理し、他の人々はフィッシングキャンペーンや犠牲者の探索を行い、利益はスキームの参加者間で分配されます。

これも資産の返還の見通しに影響を与えます。一方では、参加者が多く、中央集権型インフラストラクチャが使用されることで、分析のためのデジタル痕跡が多く残ることがあります。もう一方では、スキーム自体がよりスケーラブルで専門的になり、迅速な対応がより困難になります。

そのため、ドレイナーに関連する事件では、資金の盗難の事実だけでなく、被害者がアカウント、ブラウザ、電子メール、または他の関連サービスへのアクセスを持つより広範な侵害の一部でないかどうかを評価することが重要です。これは、資産のさらなる安全性や、それらを返還するための法的および技術的措置の効果に直接影響を与えます。