Bonk.fun ドメインハイジャック：フロントエンド攻撃は暗号資産における最も急速に成長している脅威ベクトルである
2026 年 3 月 12 日、毎日数十万ドルの手数料を処理するコミュニティ主導の Solana ローンチパッドが、短時間のうちにウォレット資金を抜き取る罠へと変貌しました。そして、それを動かしていたスマートコントラクトには一切の手が加えられていませんでした。Raydium と BONK DAO が支援する letsBONK ブランドのミームコインプラットフォーム「Bonk.fun」は、ドメインをハイジャックされ、フロントエンドに偽の「利用規約」署名プロンプトを挿入されました。チームが侵害を特定するまでに、約 35 のウォレットが空にされました。攻撃者にゼロデイ脆弱性は必要ありませんでした。彼らが必要としたのはホスト名だけでした。
この 1 時間の混乱は、2023 年以降 DeFi のセキュリティチームが囁き合い、14 億ドルの Bybit 攻撃以来叫び続けてきたことを象徴しています。それは、Solidity のコードはもはや「格好の標的」ではないということです。真の標的はフロントエンドです。そして、業界全体の盲点が、歴史上のどのスマートコントラクトの脆弱性よりも多くの損失をユーザーにもたらしています。
フロントエンド攻撃の構造
Bonk.fun の事件が、その限定的な金銭的影響をはるかに超えて重要である理由を理解するには、何が攻撃され、何が攻撃されなかったのかを理解する必要があります。
トークンをミントし、Raydium を介して流動性をルーティングするオンチェーンロジックである Bonk.fun のスマートコントラクトは、インシデントの間、設計通りに正確に機能していました。ブロックチェーンは嘘をつきませんでした。嘘をついたのはユーザーインターフェースでした。
攻撃者は、レジストラまたはネームサーバーレベルでの認証情報の漏洩を通じて、チームのドメインアカウントの制御権を獲得したと考えられます。DNS を制御することで、彼らは bonk.fun を自身のサーバーに向けさせるか、より巧妙には、ユーザーがすでに訪れているページに悪意のある JavaScript を注入することができました。その手法は洗練されていました。サイトの利用を続けるために、日常的なウォレットメッセージへの署名を求める「利用規約」バナーを表示させたのです。署名リクエストは普 通に見えました。ウォレットが起動し、ユーザーは承認をクリックしました。
しかし、その署名は規約への同意ではありませんでした。それは攻撃者にユーザーのトークンの無制限な使用権限（spending approval）を付与する eth_signTypedData パーミットだったのです。一度署名されると、ドレイナー（資金抜き取り）コントラクトが 1 回のトランザクションでウォレットを空にしました。ブラウザセキュリティベンダーがドメインにフラグを立てるまでに、約 35 のウォレットが被害に遭いました。チームの迅速な検知により、Bonk チーム自身の言葉を借りれば損失は「最小限」に抑えられましたが、この攻撃ベクトル自体の有効性は無残にも証明されました。
近年の大規模な不正流出の 100% がフロントエンドを標的にする理由
Bonk.fun は例外ではありません。これは 2025 年から 2026 年にかけて見られる、もはや分類学のように一貫したパターンの最新事例に過ぎません。
- 2025 年 2 月 — Bybit Safe{Wallet} の侵害。 北朝鮮の Lazarus Group が Safe 開発者の macOS ワークステーションにソーシャルエンジニアリングを仕掛け、AWS の認証情報を盗み出し、Safe{Wallet} UI に悪意のある JavaScript を注 入しました。これは Bybit のコールドウォレット署名者がトランザクションを承認した時にのみ作動する仕組みでした。損失額：14 億ドル相当の ETH。これは記録上、単一の暗号資産窃盗としては過去最大です。
- 2024 年〜 2025 年 — KuCoin DNS ハイジャック。 攻撃者がログイン情報を傍受して資金を引き出し、約 5,200 万ドルの損失をもたらしました。
- 2025 年 12 月 — Trust Wallet Chrome 拡張機能。 公式の拡張機能ストアを通じて配信された悪意のあるアップデートにより、ウォレットデータが流出。削除されるまでに数百人のユーザーから約 700 万ドルが盗まれました。
- 2023 年 — Curve Finance DNS 攻撃。 Curve のドメインにおけるネームサーバーの侵害により、
curve.fiが悪意のあるフロントエンドにリダイレクトされました。バックエンドには一切手が触れられていなかったにもかかわらず、承認プロンプトを介して約 57 万 5,000 ドルが流出しました。 - 2021 年 — BadgerDAO Cloudflare 悪用。 Cloudflare Workers API キーの漏洩により、攻撃者は Badger のフロントエンドに承認を収集するスクリプトを注入し、約 1 億 2,000 万ドルを盗み出しました。
これらすべての事件は、スマートコントラクトのセキュリティをバイパスしていました。そして、DNS レジストラ、CDN プロバイダー、拡張機能ストア、開発者エンドポイント、ビルドパイプラインといった、暗号資産業界が直接制御していない要素を悪用していました。このパターンが不快なのは、それが真実を突いているからです。すなわち、Web2 インフラは Web3 のセキュリティの基盤（フロア）であり、その基盤は穴だらけであるということです。
データ：ウォレットドレイナーは減少しているが、攻撃面は拡大している
一見すると、数字は安心感を与える物語を語っています。Chainalysis とドレイナーエコシステムの追跡調査によると、ウォレットドレイナーによるフィッシング損失総額は 2025 年に 8,385 万ドルまで減少し、4 億 9,400 万ドル近かった 2024 年から 83% 減少しました。被害者数も約 10 万 6,000 人と 68% 減少しました。
しかし、視点を広げると別の姿が浮かび上がります。
- 2025 年の個人ウォレットのハッキング被害は 7 億 1,300 万ドルに達し、個人のウォレットは暗号資産における単一で最大の損失カテゴリーとなりました。
- Chainalysis、PeckShield、SlowMist などの推定値を総合すると、2025 年の Web3 全体の損失額は約 27.1 億ドル〜 29.4 億ドルに上昇し、2024 年の 20.1 億ドルから増加しています。
- 100 万ドル以上のインシデントにおいて、パーミット（許可）ベースの攻撃が損失の 38% を占めました。現在、コードではなく署名が主要な資金流出の手法となっています。
- EIP-7702 を悪用した署名が Ethereum の Pectra アップグレードから数週間以内に出現し、攻撃者が 1 回のユーザー承認で複数の悪意のあるアクションをバンドルできるようになりました。2025 年 8 月の 2 つの事例だけで 254 万ドルの被害が発生しました。
ドレイナー経済が縮小したのは、防御が向上したからではありません。攻撃者が「高級市場」へと移行したからです。つまり、あちこちで 200 ドルや 2,000 ドルを盗む一般ユーザー向けのドレイナーから、高価値のカストディアルや機関投資家を標的とした、国家レベルの巧妙なフロントエンド侵害へとシフトしたのです。Bybit の流出事件だけでも、2025 年の世界全体のドレイナー被害総額の 17 倍に相当します。
DNS 、 CDN 、そしてクリプトが所有していない信頼スタック
プロトコルチームがフロントエンドのセキュリティを強化しようとする際に直面する不都合な真実があります。それは、セキュリティ領域の大部分が彼らの管理下にないということです。
一般的な DeFi のデプロイメントは、少なくとも 7 つの Web2 インフラストラクチャ層に接触しています：
- ドメインレジストラ （ GoDaddy 、 Namecheap 、 Gandi ） — 誰がドメインを所有しているかを決定する最終的な権限。
- 権威 DNS プロバイダー （ Cloudflare 、 Route53 、 NS1 ） — ブラウザにドメインの参照先を伝えるシステム。
- CDN とエッジネットワーク （ Cloudflare 、 Fastly 、 Akamai ） — 実際に HTML や JavaScript を配信するサーバー。
- ホスティングプロバイダー （ AWS 、 GCP 、 Vercel ） — コンパイルされたフロントエンドが存在する場所。
- ビルドパイプライン （ GitHub Actions 、 Vercel 、 Netlify ） — アーティファクトに署名してデプロイする仕組み。
- サードパーティスクリプト （分析ツール、ウォレットコネクタ、モニタリング） — チームが書いたものではないが、一緒に配信されるコード。
- ブラウザ拡張機能ストア （ Chrome ウェブストア、 Firefox アドオン） — ウォレット自体の配信チャネル。
攻撃者は、ユーザーの画面に署名プロンプトを挿入するために、これらの中から 1 つを侵害するだけで済みます。 1,000 億ドルの TVL （預かり資産）を守るプロトコルは、構造的に 7 つの異なるベンダーが保持する最も脆弱な認証情報に依存しています。そのほとんどのベンダーは、 DeFi チームのアカウントをドッググルーミングのブログと同じように扱います。
NIST は 2026 年 3 月、 2013 年の文書を置き換える SP 800-81r3 で DNS セキュリティガイダンスをようやく更新しました。これは 10 年以上ぶりの実質的な連邦政府による刷新であり、 DNSSEC において RSA よりも ECDSA や Ed25519 を推奨しています。それは有益ですが、主要なレジストラでの DNSSEC 採用はいまだに断片的であり、ほとんどのクリプトプロトコルは実際には安定して有効にすることができません。
クリプトがいまだに持っていない「セキュア・フロントエンド標準」
スマートコントラクトのセキュリティには成熟曲線があります。形式検証、 Trail of Bits や OpenZeppelin による監査、 Immunefi でのバグバウンティ、 Hypernative や Forta によるオンチェーンモニタリングなどです。 2026 年の資金力のあるプロトコルは、そのオンチェーンコードを囲む防御策のマークルツリーを提示できます。
しかし、フロントエンドにはそれが全くありません。チームのレジストラ設定に関する監査レポートに相当するものはありません。ドメイン名の変更に関するマルチシグの業界標準もありません。 Cloudflare ダッシュボードに対する SOC 2 もありません。ユーザーが実行している JavaScript がチームのデプロイしたバージョンと一致しているというオンチェーンでの証明（ attestation ）もありません。
いくつかの有望なパターンが登場しつつあります：
- サブリソース整合性（ SRI ）ハッシュ ：サードパーティスクリプトを既知のバイト列に固定します。
- コンテンツセキュリティポリシー（ CSP ）ヘッダー ：インラインスクリプトのインジェクションを防止します。
- 署名済みフロントエンドマニフェスト ：オンチェーンで公開され、ウォレットが実行内容を検証できるようにします。
- ENS 解決を伴う IPFS ホストのフロントエンド ： Uniswap や増加する DEX が採用しており、 DNS への依存を減らします。
- ウォレット側のトランザクションシミュレーション （ Rabby 、 MetaMask Snaps 、 Blowfish ） ：ユーザーが署名する前に、その署名が実際に何を行うかを表示します。
- ハードウェアキーで保護されたレジストラアカウント 、冗長化された DNS プロバイダー、制限されたビルドパイプライン： DomainSure や Sherlock の 2026 年向けガイダンスが現在「最低条件」として定義している運用上の衛生管理です。
これらはどれも標準化されておらず、必須でもありません。そして、ほとんどのプロトコル、特にミームコインの活動が盛んな新興のローンチパッドでは、これらを一つも備えずにリリースされています。
Bonk.fun が示唆する今後 12 か月
Bonk.fun は、 10 億ドルの損失ではなかったという点において、まさに有用なケースス タディです。チームはハイジャックを迅速に検知しました。損失は数千人ではなく数十人のユーザーに抑えられました。ドメインは数時間以内に取り戻されました。
しかし、それを巡る経済性は爆発的です。 letsBONK.fun の収益は 2026 年初頭に 600% 以上急増し、 1 日の手数料は 352,793 ドルでピークに達しました。このプラットフォームは Solana のミームエコシステムにおける重要なリクイディティルーターとなっており、世界中のすべての攻撃者が、そのフロントエンドが「抵抗の最も少ない経路」であることを知っています。次のハイジャックは、より穏やかな瞬間に、より大きなプラットフォームをターゲットにするでしょう。そしてそれが成功したとき、 3 月 12 日の「 35 ウォレットの被害」という脚注は古めかしく見えるはずです。
業界の 3 つの対抗策がすでに見えてきています：
- ペリメータ（境界）の強化 — より多くのハードウェアキー、 DNSSEC の導入、署名済みマニフェスト、冗長化された DNS 。これは着実ですが時間のかかる道です。
- ウォレット側の防御 — トランザクションシミュレーション、ブラインド署名への警告、ユーザーが署名する前に既知の不正コントラクトにフラグを立てるドレイナーデータベース。これは迅速な対策ですが、実装が異なる各ウォレットベンダーに完全に依存します。
- アーキテクチャの変更 — IPFS + ENS 、完全なオンチェーンフロントエンド、および無制限の許可（ permit ）への署名を拒否するアカウント抽象化（ AA ）ポリシー。これが唯一の永続的な道ですが、普及には最も時間がかかります。
不都合な現実は、現在 HTTPS フロントエンドを提供している すべてのプロトコルが構造的にリスクに晒されている ということであり、いくら監査予算を投じてもそれを解決することはできません。業界がスマートコントラクトのベストプラクティスに相当するフロントエンドの標準に合意するまで、 Bonk.fun のハイジャックはより大きなターゲットで何年も繰り返されるでしょう。
インフラストラクチャはセキュリティの選択である
フロントエンド攻撃は、 Web3 に関する不都合な真実を露呈させました。オンチェーンでの分散化は、ユーザーが DNS レコード 1 つで全財産を失う可能性があるなら、ほとんど意味をなしません。次の波を生き残るプロトコルは、レジストラ、 CDN 、拡張機能チャネル、 RPC エンドポイントといったすべての Web2 への依存関係を、ベンダーの請求書の項目ではなく、自社の脅威モデルの一部として扱うプロトコルです。
BlockEden.xyz は、 Sui 、 Aptos 、 Ethereum 、 Solana 、および 10 以上のチェーンにわたって RPC およびインデクサーインフラを運営しています。冗長化されたエンドポイント、 DDoS 保護、そして機関投資家チームがバックエンドを攻撃対象領域から外すために必要な運用管理によって強化され ています。 API マーケットプレイスを探索して 、敵対的なウェブ向けに設計されたインフラストラクチャ上で構築を始めましょう。