Trust Walletの「unknown」という消費原因には、特定の特徴があります。そして、誰が支払いをするかが決まるのです。

それは短い報告書であり、不安を引き起こすような曖昧な内容でした。Trust Walletのユーザーたちは、自分のスマホが一晩で電力が使い果たされたと訴えていました。また、いくつかの投稿では、ある点が繰り返し指摘されていました。様々な被害者からの資金が、特定されていない住所に集まっている。出版時点では、このエピソードに正式な名称が付けられていない。報道文には「原因は不明」という表現が使われている。

その3つの言葉には、特定の意味があります。それらは、ウォレットソフトウェア自体が機能しなくなった、何も起こらずにお金が失われたという最悪の解釈を引き起こします。つまり、誰がその損失に対して責任を持つかを決定するのは、その解釈です。また、チェーン上の記録から見て、その解釈は反証されるものでもあります。

住所は上記の通りです。

一晩で報告される内容には、まず確認すべき点があります。複数の被害者の資金が一つの受取先に集まるのは、何らかの協調行為の証拠です。偶然のソフトウェアの不具合や、個別に盗まれたシードコードの破損によって、全ての被害者の資金が一つの受取先に集まるわけではありません。一つの集まり点というのは、資金を吸収する者がいる証拠です。つまり、一人の攻撃者、一つの支払い記録、そして多くの痕跡があるのです。

そのパターンは、自前でコインを管理している人々にとって重要です。なぜなら、それによって「ウォレットが壊れた」という状況から、「誰かが協調的にウォレット利用者に対して活動を行っていた」という状況へと話の内容が変わるからです。そして、過去1年間に記録された活動を見ると、どの活動もウォレットが壊れる必要は全くなかったことがわかります。

メカニズムには問題はない。

セキュリティ調査会社のCyfirmaは、Telegramで共有されるQRコードを利用して、Trust Walletのユーザーに対する活動的な攻撃行為を追跡しました。そのQRコードをスキャンすると、Trust Walletの内部処理が、Netlify上に設置されている「Send USDT」というページに自動的にリダイレクトされます。ユーザーは受取人と金額を入力し、ウォレットを接続して承認すればよいのです。一見すると1ドルの送金のように見えるが、実際には…攻撃者が制御するアドレスに対して、無制限の支出権を与える承認契約1つの署名だけで、オペレーターはUSDTの残高全体を、ユーザーが再度承認する必要なく、静かに引き出すことができます。報告書の結論は以下の通りです：「特別な手段は必要ありません。」

これが普通のことであり、異常なんかではない。ほとんどのウォレット削減ソフトは、シードフレーズを盗むことはありません。代わりに、所有者自身が出金にサインするようになるのです。被害者は自分が「ハッキングされた」と信じている。しかし、チェーンを調べると、彼が退出票に署名したことがわかる。このギャップ――つまり、ユーザーが思っている行動と実際の取引内容との差異――こそが、追跡が明らかになった後でも「原因が不明」という状況が報道される理由だ。

どの箱に該当するかによって、損失の相手が変わります。

この違いは、投資に関する問題であり、法医学的な事項ではありません。なぜなら、それによって誰が支払うかが決まるからです。

最近、ウォレットの過失が原因だったケースがありました。2025年12月に、Trust Wallet Chrome拡張機能の悪意あるバージョンが使用されたのです。漏洩されたパブリッシングAPIキーを利用して、Chromeウェブストアにプッシュされました。— 業界全体の「Sha1-Hulud」サプライチェーン攻撃の一部であり、クリスマスにアプリを開いてログインしたユーザーのシードフレーズが盗まれてしまった。Trust Walletではその数が記録されている。2,520件のウォレットアドレスが排水され、約850万ドルが流出した。影響を受ける資産については、重要な点として、その会社が所有していた。モバイルユーザーには影響がなく、その拡張機能を元に戻し、また、そうするつもりだと述べていました。影響を受けたユーザーのために自発的に補償するソフトウェア側の障害、ベンダー側の確認。

モバイルアプリに関する「一晩で資金が使われてしまう」という報告は、そのようなものではありません。ユーザーの署名なしで機能するモバイルアプリのエクスプロイトについては、何も記録がありません。記録されているモバイルベクトルとは、上述したような承認詐欺や類似アプリのことです。もし所有者が無制限の契約に同意してしまい、その結果として資金が失われた場合、その損失は所有者自身が負うことになります。自己管理の場合、署名が同意の証となるため、同意による損失はウォレット製造業者が補償するものではありません。

「未知」というものが実際にあなたにどれだけの損害を与えるか

スケールをその隣に置いてみましょう：CleanSky 2025–2026のセキュリティ報告書によると…34億ドルが財布やプロトコルから盗まれたその期間を通じて、識字率の問題は深刻で、新たな人々が入ってくることで、運営者は新たな負担を背負うことになります。だから、「自分の財布は安全か」という問いに対する答えは、間違った問い方です。このような場合でも、自己管理方式は失敗しなかった。それは、鍵を持っている人が実際に財産の管理者であるという仕組みがうまく機能しているからです。

これにより、リスクを把握しやすくなり、ほとんどの場合、その許可を取り消すことができます。ブロックチェーン上では、ウォレットのトークン承認状況を確認し、無制限のアクセス権を取り消すことができます。ハードウェアウォレットでは、キーが署名装置から離れているため、そうしたリスクが生じません。また、「承認」というステップを単なる形式に過ぎないものとして扱うことで、こうしたキャンペーンが利用する手法を防ぐことができます。

正直な境界とは、その破壊条件のことです。もし研究者が、ユーザーの署名や悪意ある承認なしで、ウォレットを消費するようなモバイルアプリの脆弱性を報告する場合、それは真のバグであり、実際には何もわからない状態です。そうなると、「原因が不明」という表現が再び使われることになります。その論文が存在するまでは、報告された証拠から判断すると、原因は誰かの署名によるものであり、操作者にはアドレスがあり、損失は一度の取引によって起こったものだということになります。