#Gate广场四月发帖挑战 2.85億ドルの十秒でゼロ化：国家レベルのハッカーがシリコンバレーのHRに変身、Web3の底はいくつ残っているのか？

2億8500万ドル。
Drift Protocolの監視画面の数字がわずか10秒でゼロになると、ウォール街のクオンツトレーダーは濃縮コーヒーを飲む暇もなかった。この「コードは法律」と称される分散型ユートピアでは、たった10秒で驚天動地の事件を完結できる。しかし、これが単なるスマートコントラクトの脆弱性攻撃や、地下室で狂ったようにキーボードを叩く天才ハッカーの仕業だと思っているなら、あなたはあまりにも甘い。
この約3億ドルの狂乱の真の出発点は、その致命的な10秒ではなく、半年前のLinkedInの暖かいメッセージにあった。この魔法の暗号世界では、ハッカーはもはや非対称暗号の解読に硬直していない。彼らはフードを脱ぎ、仮想のアルマーニの高級スーツに身を包み、偽のSlackチャンネルでキャリアプランや数千万の資金調達について大いに語り合う。あなたは彼らがあなたの財産を自由にする伯楽に出会ったと思うかもしれないが、実は彼らはあなたのコンピュータの底層システム権限を狙っているだけだ。

フィッシングの最高峰は、あなたと2ヶ月間職業理想について語り合うこと

暗号業界のセキュリティラインには、常に非常に荒唐無稽なミスマッチが存在している。プロジェクト側は何百万ドルも投じてトップクラスの監査機関にスマートコントラクトの各層のロジックを逐一検査させる一方で、コードのマージ権限を持つコア開発者が誰とチャットしているかには全く関心を持たない。UNC1069、あるいは長年ダークウェブの奥深く潜伏している北朝鮮の国家レベルのハッカー組織は、この脆弱なターゲットを正確に狙い撃ちしている。彼らは今、攻撃を仕掛ける際に、完全にハイエンドなヘッドハンターの路線を歩み、「長期主義」と「感情価値」を売りにしている。これは徹底的に工業化された次元削減攻撃の一種だ。AxiosのオープンソースライブラリのメンテナやNodeコミュニティの複数のコアメンバーへの侵入活動は、社会工学の教科書と呼べる。
最初からトロイの木馬入りの圧縮ファイルを送りつけたり、「あなたのアカウントはマネーロンダリングの疑いがあります。確認してください」といった低レベルな手口は使わない。国家の体制下にあるハッカーたちは、数週間から数ヶ月かけて、巧妙に偽のテック企業のシェルを作り上げる。完璧な企業公式サイトを設立し、複数のアクティブなチャネルを持つSlackワークスペースを立ち上げ、そこには各部署の「同僚」が熱心にビジネスについて議論している設定だ。彼らは技術オタクの心理をよく理解している。自分が多忙な実在の高官であるかのように見せるため、わざと会議を事前に予約し、会議直前に丁寧にメールで日程変更を依頼する。こうしたリアルなビジネスの摩擦は、被害者の心理防衛線を破る最後の一撃となる。
数週間にわたる挨拶や議論、相互の称賛を経て、信頼感が高まったところで、Microsoft Teamsのオンラインビデオ面接が始まる。被害者は喜び勇んで会議に参加し、画面には「システムに更新プラグインが不足しているため通話に参加できません」といった普通のメッセージが表示される。待たせたくない開発者は、手早くダウンロードとインストールをクリックする。すると、その瞬間、秘密裏に遠隔操作用のトロイの木馬がこの資金流通を司るデバイスに忍び込むのだ。
半年にわたる暖かい言葉のやり取りは、この一瞬のためだけだった。あなたはこれが就職活動だと思っているかもしれないが、実はあなたは自分のデジタル棺に最後の釘を打ち込んでいるのだ。

あなたの二段階認証は、ハッカーの裏口に雰囲気灯を付けただけ

多くのWeb3関係者は、なぜか自信過剰で、「2FA（二要素認証）」を有効にし、秘密鍵をコールドウォレットに隠せば、サイバーパンチングの防弾チョッキを着ている気分になる。しかし、国家レベルのハッカーの前では、それはまるで水鉄砲で核攻撃を防ごうとするようなものだ。悪意のあるプラグインが実行された瞬間、あなたのOSはすでに乗っ取られている。あなたが画面上で見ているすべてのピクセルは、ハッカーが見せたいものだ。彼らが使う技術スタックは、「寄生」を極めている。Windows標準の.LNKショートカットファイルを大量に悪用し、普通の人にはただのアイコンに見えるが、ハッカーにとっては混乱させたPowerShellスクリプトの連なりだ。
さらに驚くべきことに、彼らは防火壁に引っかかりやすい悪意のあるドメインを使わず、コマンド＆コントロール（C2）サーバーをGitHubに直接設置している。あなたの会社のセキュリティ監視システムが、あるデバイスがGitHubにデータをリクエストしているのを検知しても、誰も異常だとは思わない。なぜなら、世界中のプログラマーがGitHubからコードを引き出しているからだ。こうしてハッカーは、合法的な公共インフラを堂々と利用し、あなたのPCの心臓部へと通じる秘密の廊下を築いている。底層システムが完全に乗っ取られると、2FAやマルチシグ、ハードウェアウォレットの確認は、すべて笑い話になる。
ハッカーはあなたのPCを一方的に制御し、パスワード入力の瞬間にキーストロークを記録し、SMSの認証コードを傍受し、眠っている間にブラウザを静かに起動させて、完全なログイン状態でNPMリポジトリにこっそりパッケージをプッシュすることもできる。毎週数億回ダウンロードされるオープンソースライブラリのAxiosも、こうして侵略されたのだ。ハッカーはメンテナのPCを掌握した後、XenoRAT遠隔操作トロイの木馬を含む悪意の依存関係を注入した。このサイバーボムが、3時間以内にコミュニティによって奇跡的に発見・除去されなければ、その爆発力は数百万の下流アプリのサーバーを原始時代に吹き飛ばすだろう。これは単なる詐欺ではなく、都市の水道工場に毒を投じる行為だ。

サイバー空間の闇の森と、破防できない“太った豚”テスト

コードの迷宮を抜け出すと、これは実は過酷な地政学的ゲームのデジタル版の投影だ。この動乱の時代において、開発者のキーボード叩き一つ一つが、地球の反対側の核兵器開発資金とつながっている可能性がある。厳しい国際制裁下にある金正恩政権は、すでにネット強盗を国家の財政支柱の一つとみなしている。国連の報告によると、数千人の北朝鮮ハッカーが高度に組織化されており、彼らの唯一のKPIは、規制のない流動性のブラックホールである暗号市場から血を絞り取ることだ。
AI技術の普及は、こうした国家レベルのハッカー行為に翼を授けている。以前は、異文化・異言語の社会工学攻撃はコストが高く、交流の中で簡単に見破られたが、今や大規模言語モデルは瞬時に流暢なシリコンバレーのスラングを生成し、ハッカーのエリート像を完璧に維持できる。クリックコストはゼロに近づき、信頼構築のコストは崖から落ちるように下がる。この非対称戦争の防御は指数関数的に難しくなっている。コードの脆弱性は数学的証明で修正できるが、人間の弱さは底なしの穴だ。こうした武装した侵入に対して、技術的な審査は二の次となり、実効的な防御策はむしろ狂気じみていることもある。
この嵐の中、X上で拡散した動画が最も幻想的な脚注となった。遠隔ITスタッフの面接をしている西洋の高官が、相手の身元に疑念を抱いたとき、複雑なアルゴリズム問題を出す代わりに、「金正恩は醜い太った豚だ」と英語で叫ぶように求めたのだ。画面の向こうの「シニアフルスタックエンジニア」は瞬時に硬直し、問題が理解できないふりをして、その後、狼狽して会議から退出した。厳しい政治的圧力の下、海外にいて政権の外貨獲得に協力しているハッカーでさえ、自分や家族の命を賭けてこのジョークに乗ることはできない。
これは、今日のDeFiの安全性の最も辛辣な皮肉だ。私たちは人類史上最も厳密なゼロ知識証明を構築し、最も複雑なバシリスク・アポカリプスの合意を設計し、数億ドルを投じてウィッチ攻撃を防いできたが、結局、システムの核心的脅威を見分ける究極の方法は、攻撃的な政治的白紙の一言だった。Drift Protocolの20億ドル以上の資産は平壌の空に花火のように散り、こうした魔術的リアリズムの業界は、日々、見た目は堅固に見えるが実は無数の亀裂だらけの富の神話を追い続けている。