今回のWeb3セキュリティレポート#20では、2024年8月に発生した計27件のインシデントを対象に、特に注目すべきインシデントを簡潔に取り上げ、それらから見える攻撃手法の大まかな流れと変化に焦点を当てています。

また、ここ数ヶ月流行している「ソーシャルアカウント侵害×ミームコインランチャー×ラグプル」手法を用いて$700k（現在の為替相場で約1億円相当）の被害となった「マクドナルド事件」と8月に影響が大きかった2つの重要な事件についても、簡明に解説を加えています。

このレポートは、複雑化するサイバー脅威の中で、どのような事象に注意を払い、どのような対策を講じるべきかの指針を提供することを目的としています。日々の防衛策に役立てるため、基本的な知見を分かりやすく提供しています。どうぞ、この機会を活用して、身を守る知識を深めていただければと思います。

上グラフは2013年3月以降、調査時点までの月間インシデント発生数（Slowmist社が検出した事件に限定）の推移を表しています。2024年08月は計27件のインシデントを確認しています。

上の積み上げ棒グラフは、2020年から増加しているインシデント数に伴い、特に頻度が高い5つの攻撃手法の割合の変遷を示しています。

ラグプル等の主要な攻撃手法による被害件数は5月以降減少しているものの、その他の攻撃手法の割合が相対的に増加していることがわかります。次節にて、8月の攻撃手法の内訳を詳しく確認し、その他の主因について解説します。

上のグラフは、2024年8月に発生した各攻撃手法による被害額および件数を示しています。

被害額の大きさではUnknown（不明）とContract Vulnerability（コントラクト脆弱性）が目立ちますが、件数では、Account Compromise（アカウント乗っ取り等）が17件と圧倒的に多いことがわかります。

前節のグラフでは、ラグプル等の主要攻撃の被害件数が減少していることを確認しましたが、ここ最近増えているAccount Compromise（アカウント乗っ取り等）は最終的にラグプルによって資金を持ち去る例が目につくようになってきました。（もちろん、従来通りのフィッシングリンクばら撒きやマルウェア配布も流行っています。）

つまり、グラフ上ではラグプルは減少しているようには見えますが、その実態としては従来の「ラグプル」が「Account Compromise→ラグプル」に変化したに過ぎません。

このようなソーシャルメディアを活用したラグプル目的の攻撃手法が流行する背景には、初夏あたりから話題に上がることが多くなったインスタントなミームコインローンチパッド（Pump.fun、Sun.pump等々）の存在も関係しており、ラグプル手法が昨今のミームコインブームと便利なインスタント鋳造ツールに適応する形で大中様々な規模で横行するようになってきました。

【関連レポート】

またAccount Compromiseによる被害額は$0と計上していますが、これは便宜上の数値であり、実際は$0ではなく、被害者が多過ぎて被害額の計算が困難なためだと考えられます。また件数も17件としていますが、ささやかな事例も含めるとこんなもんではありません。（※当該レポートに記載の被害額データはSlowmistデータに準じて出力しています。）

以下、2024年8月に発生したAccount Compromise×ラグプル（Pump.funs応用編）事例の一つとしてマクドナルド事件を次節にてご紹介します。

適切なリスク管理と事前の準備が、サイバーセキュリティの効果を最大化し、未然に被害を防ぐための鍵となることが明らかです。組織や（この事例の場合は特に）個人ユーザーは、これらのデータを活用して攻撃の兆候を早期に捉え、防御策を強化することが求められます。