2026年4月30日、暗号資産（仮想通貨）コミュニティにおいて極めて深刻な事案が発生しました。
過去7年以上にわたって一度も動かされていなかった「休眠状態」のイーサリアム（ETH）ウォレットが、突如として一斉に資金を抜き取られるという事態が確認されたのです。
被害を受けたウォレット数は500件を超え、被害総額は約80万ドル（約1.2億円相当）に達しています。
この事件は、長期保有（HODL）を目的としてオフラインに近い形で保管されていた資産であっても、生成時の脆弱性や過去の管理体制によっては、数年の時を経てなお侵害のリスクにさらされ続けるという過酷な現実を浮き彫りにしました。
異常な資金移動の全貌と攻撃手法の分析
今回の不正流出は、オンチェーン分析によって特定のアドレスに資金が集中していることが判明したことで発覚しました。
攻撃者のアドレスには、短期間に596件ものトランザクションが記録されており、主要なスキャナーでは既に「Fake_Phishing2831105」というタグが付与され、警戒が呼びかけられています。
被害に遭ったウォレットの共通点
流出が確認されたウォレットの多くは、2018年から2019年前後を最後に動きが止まっていたものです。
これほど長期間放置されていたアドレスがターゲットとなった背景には、単なるフィッシング詐欺を超えた「構造的な脆弱性」の存在が疑われています。
一般的に、最新のウォレットアプリやハードウェアウォレットは高度なエントロピー（乱数）生成技術を用いていますが、数年前の古いツールや、当時に作成されたシードフレーズには、現代の解析技術で突破されかねない隙が存在していた可能性があります。
検討されている主な侵害経路と仮説
現時点では決定的な侵害ルートは特定されていませんが、セキュリティ専門家やコミュニティの間では、以下の4つの可能性が有力視されています。
1. 古いウォレット生成ツールの「エントロピー不足」
数年前に流行した一部のウェブベースのウォレット作成サイトや、初期のJavaScriptライブラリを用いて生成されたウォレットには、十分なランダム性が確保されていないものがありました。
生成される秘密鍵が予測可能な範囲内に収まってしまう「脆弱な乱数生成」の問題です。
攻撃者は高度な計算能力を用いて、これらの脆弱な鍵を総当たり（ブルートフォース）的に特定した可能性があります。
2. 中央集権型パスワードマネージャーからの流出
過去に大規模なデータ漏洩を起こしたLastPassなどのパスワード管理ツールに、暗号化された状態でシードフレーズや秘密鍵を保存していたケースです。
攻撃者が時間をかけて暗号化ファイルを解析し、今回のタイミングで一斉にアクセスを試みたという説です。
3. トレーディングボットや古いスクリプトへの入力履歴
DeFi（分散型金融）の黎明期に、利益を追求するために秘密鍵を直接入力して動かす自動売買ボットや、エアドロップ確認スクリプトを利用したユーザーがターゲットになった可能性です。
当時のサーバーが後に侵害され、保存されていた秘密鍵リストが裏市場で流通していた可能性も否定できません。
4. ニーモニックフレーズのデジタル保存
物理的な紙にメモするのではなく、スマートフォンのメモ帳やクラウドストレージ（Google DriveやiCloudなど）にスクリーンショットやテキスト形式で保存していた場合、クラウド経由の不正アクセスによって情報が窃取されます。
長期保有者が直ちに講じるべき防御策
今回の事件は、すべての長期保有者に対する強力な警告です。
「触っていないから安全」という考えは、もはや通用しません。
以下の対策を速やかに実行することが推奨されます。
資産の「鍵」を最新化する
古いシードフレーズを使い続けること自体がリスクとなる場合があります。
価値のある資産を保有している場合は、最新のファームウェアにアップデートされたハードウェアウォレットを用いて、全く新しいシードフレーズを生成し、そこへ資産を移動（オンチェーン送金）させることが最も確実な防衛策です。
| 対策アクション | 理由 | 優先度 |
|---|---|---|
| 新しい秘密鍵への移行 | 旧ツールの脆弱性リスクを完全に排除するため | 極めて高い |
| ハードウェアウォレットの使用 | 秘密鍵をネットワークから完全に隔離するため | 高 |
| トークン承認（Approve）の取消 | 直接的な流出防止ではないが、二次被害を防ぐため | 中 |
回避すべき危険な操作
資産を移動させる際、以下の行動は絶対に避けてください。
- 古いシードフレーズを、復元のために聞き慣れないウェブサイトやアプリに入力する。
- 資金を移動させるための「ガス代」を求める見知らぬエアドロップに応じる。
- 秘密鍵をカメラで撮影したり、スクリーンショットを撮ってクラウドに保存したりする。
秘密鍵管理のパラダイムシフト
暗号資産の世界では、Not your keys, not your coins（鍵を持たぬ者は、コインを持たぬ者）という格言が長らく語り継がれてきました。
しかし今回の事件は、単に鍵を持っているだけでは不十分であり、「その鍵がどのように生成され、どのように保管されてきたか」というプロセス自体の健全性が問われていることを示しています。
特に、イーサリアムのようなスマートコントラクトプラットフォームでは、過去に許可した「トークンの承認（Allowance）」の設定だけを消去しても、秘密鍵そのものが漏洩していれば無意味です。
攻撃者はウォレットの全権限を握っているため、直接資産を外部へ送金できてしまうからです。
まとめ
2026年に発生したこの大規模なイーサリアム流出事件は、仮想通貨の長期保管における「負の側面」を浮き彫りにしました。
7年という歳月は、テクノロジーの世界ではあまりに長く、過去の「安全」が現在の「脆弱性」へと変化するには十分な時間です。
私たちは、一度生成したウォレットを永久に信頼するのではなく、定期的にセキュリティ基準を見直し、必要であれば「新しい技術に基づいた鍵」へと資産を移し替えるメンテナンスが必要です。
資産を守るための最後の手だては、常にユーザー自身の知識と最新の警戒心にあることを忘れてはなりません。
古いシードフレーズを使い続けている心当たりがある方は、今すぐ最新のセキュリティ環境への移行を検討してください。