8億円規模のアドレスポイズニング犯罪ネットワーク — 2ヶ月後のフォローアップ調査

おさらい —— 2026年2月に見つけたもの

2月に私たちが追跡したのは:

• 264+ のオペレーターウォレットが 50+ の Unicode 偽装フェイクトークン コントラクト（キリル文字 UЅDT、Lisu 文字 ꓴꓢꓓt、ゼロ幅の不可視文字）を配布
• 3チェーンにまたがる 6,892+ の被ポイズニングアドレス
• 総額 $5.3M の資金移動（1億7,600万円分の JPYC を含む）
• 0x54cdcbdba40e294e8832230db706cee76e1f20f3 の 単一の Master Funder —— 残高 16,226 AVAX、1,585 の受取人、53% がオペレーターと確認済み
• Ethereum（$2.67M USDT）と Polygon（$788K USDC）の2つのコレクター
• 実証済みのリレーパターン: 被害者 → 類似アドレス → リレー → コレクター、端から端まで 34 分

私たちが残した問いはこうだ: このネットワークは暴露された後に自壊するのか、それとも稼働し続けるのか？

フォローアップの手法

2026-04-20、2月の報告でフラグしたすべてのアドレスについてオンチェーンの状態を取得した。使用したのは Routescan（Avalanche、キー不要）、Etherscan V2（Ethereum と Polygon、無料 API キー）、そして クロスチェーン相関のための ChainAnalyzer 自身の Neo4j グラフだ。

各アドレスについて、ネイティブ残高・ステーブルコイン保有・最終 TX タイムスタンプ・2026-02-17 以降の活動を比較した。以下の数値はすべて、2026-04-20 06:45 UTC 時点の公開オンチェーンデータに対して再現可能だ。

主要な差分（デルタ）

3つのことが並行して起きた: 積極的な新規オペレーターの勧誘、被害者資金のコレクターへの継続的な洗浄、そしてウォレットローテーション理論が予測した通りの、古いオペレーターウォレットの体系的な引退。

1. Master Funder は勧誘を続けている

Master Funder から直近 10,000 件のトランザクションを取得した。2026-02-17 以降の流出にフィルタした結果:

• 1,119 件の AVAX 送金（アウトバウンド）
• 送金総額: 49,441 AVAX（$25/AVAX で約 $1.24M）
• 854 のユニークな宛先アドレス —— いずれも 2026-02-17 以前には資金を受け取っていない

規模感を示すと: 2月の調査は生涯累計 1,585 の受取人をカバーしていた。それ以降の2ヶ月で、Master Funder はさらに 854 の受取人を追加した —— 60 日で、それまでの生涯累計の 54% にあたる拡大だ。

2月17日以降の新規宛先トップ10:

このネットワークを暴露した調査は、その動きを鈍らせなかった。むしろ Master Funder の活動は加速した。

2.「最上流ソース」は共犯者ではなかった

2月、私たちは Master Funder に 5,077 AVAX を送った資金供給元 0x9f8c163c… に着目したが、完全には追跡していなかった。2ヶ月の追加データが明らかにしたのは: このアドレスはほぼ確実に取引所または OTC のホットウォレットであり、犯罪ネットワークの一部ではない、ということだ。

根拠:

• 現在残高: 1,688,967 AVAX（約 $42M）
• 最初の追跡可能な活動: 2021-09-06（ポイズニング作戦全体より4年以上前）
• 直近約 10,000 件のトランザクションだけで 270 万 AVAX の流入 + 240 万 AVAX の流出
• 今日の挙動パターン: 1日あたり数百件の 0 価値 transfer 呼び出し、ルーターへの散発的な execute 呼び出し、新規アドレスへの少額支払い —— 典型的な CEX ホットウォレットのアイドル／出金のフィンガープリント
• Ethereum と Polygon でも活動 —— クロスチェーンのホットウォレット フットプリント

それが Master Funder に一度送った 5,077 AVAX は、十中八九中央集権型取引所からの通常の出金だった。ポイズニングのオペレーターが CEX のカウンターに歩み寄り、AVAX を引き出し、立ち去った。それは陰謀ではない。取引所のコンプライアンスの穴だ。

同様に、0x3bce63c6（「14万 AVAX のクジラ」）—— 残高 168,901 AVAX、今日も活動中（最終 TX 2026-04-20 06:40 UTC）、同じホットウォレットのフィンガープリント。2月に主要オペレーターへ拠出した 40 AVAX も、おそらく別の取引所からの出金だった。

結論: クジラ共犯者は存在しない。洗浄側の資金は、アウトバウンドの AML 統制が甘い1〜2の大手取引所を起点としている。これは実務上アクショナブルであり —— 当局であればおそらく SAR（疑わしい取引の届出）に値する。

3. コレクター —— 洗浄のフロントエンドはかつてなく多忙

Ethereum コレクター 0xbca34ed5

2ヶ月で、このアドレスは 1,450 の送信者から $16.9M の USDT 流入と $15.1M の流出を処理した。差引 +$1.73M。この速度では、コレクターは1週間で 2月17日時点の全残高より多くの USDT を処理する。

Polygon コレクター 0xa6380bfd

USDC 残高が減ったのは、下流へ洗浄しているからであり、被害者フローが止まったからではない。2ヶ月で 1,100 のユニーク送信者は、2月の合計 715 から増加している。リレーパターン（被害者 → リレー → コレクターを約 34 分以内）が、依然としてそれらの流入の大半を生んでいる。

4. ウォレットローテーションは実在した

2月に理論化したことの1つは、オペレーターウォレットは使い捨てだということだった。データは今それを裏付ける:

• 主要オペレーター 0xb2de52d8 —— 最終活動 2026-02-14、私たちが公開する3日前。以降ずっと停止。
• 活動中オペレーター 0x03309000 —— 2月は3チェーンすべてで活動していた。今日: AVAX 枯渇、最終 TX 2026-04-15; ETH 枯渇、最終 TX 2026-03-04; POL ほぼゼロ、最終 TX 2026-02-25。
• トップオペレーター 0x0808469a —— 2月下旬〜3月上旬にさらに 1,794 AVAX を受領し、その後静か。80 AVAX が残る。
• Lisu デプロイヤー 0x64424853 —— 2025-12-23 以降 休眠。

Master Funder が 2月17日以降に播種してきた 854 の新規宛先は、まさにその置き換えだ。オペレーター群はおよそ 2〜3 ヶ月周期で入れ替わる。

これは AML チームにとって興味深い含意を持つ: アドレスのブラックリストは劣化する。2月のオペレーターアドレスのリストは、4月には 30〜50% が陳腐化している。検知は静的なアドレスレベルではなく、資金フローと振る舞いのレベルで動作しなければならない —— それはまさに ChainAnalyzer の Follow Mode とグラフクラスタリング検知器の設計そのものだ。

5. 大量ポイズニングの資金供給元は元を取った

おそらく最も衝撃的なデータポイント: Polygon の大量ポイズニング資金供給元 0xa081aa46 は、1月に 6,874 のアドレスをポイズニングするのにわずか $12.55 を費やした。

今日、そのアドレスは 23,435 POL（約 $24K）を保有する。活動中、最終 TX 2026-04-20 00:14 UTC。$12.55 から $24,000+ へ —— 3ヶ月で資本の 1,870 倍のリターン、しかもすでに下流へ動かした資金を数える前の話だ。

これこそが、この攻撃クラスが能動的な防御なしには消えない、という経済的論拠のすべてだ。

6. デプロイヤーは新しいコントラクトを出していない —— その必要がない

0x4226dd7419b1431f512d82a2c9e5fa1597fb1077 は、39 の Unicode 偽装コントラクトを担った主要フェイクトークン デプロイヤーだった。2026-02-17 以降に新しいコントラクトをデプロイしたか確認した。

新規デプロイはゼロ。他に 200 件のトランザクション。

既存の 39 コントラクトは今もフェイクトークンの発行と転送に使われている。デプロイヤーは稼働しているが作成はしていない —— つまり典型的な「コントラクト作成検知」のシグナルは、このオペレーターが最も活発な期間に完全に取り逃がす。

更新されたネットワーク トポロジー

これが変えること

被害者・潜在的被害者にとって

ネットワークが公開調査に晒されても、それが閉鎖につながることはなかった。2月に推奨したすべての防御的行動は、より切迫感をもって今も当てはまる: TX 履歴からアドレスをコピーしない、1文字ずつ比較する、心当たりのないトークンをターゲティングのシグナルとして扱う、送る前に宛先をスクリーニングする。ChainAnalyzer はこれを chain-analyzer.com で無料で行う。MCP サーバーにより、AI エージェントは署名前にこれを自動で実行できる。

取引所にとって

2つのアドレス —— 0x9f8c163c と 0x3bce63c6 —— は合わせて、数千のポイズニング オペレーターに播種するウォレット群に資金供給してきた。私たちのレビューは、これらが取引所または OTC のホットウォレットである可能性を強く示唆する。もしそれがあなたのものなら、あなたの出金側 AML 統制にはアドレスポイズニング アクター特有の盲点がある。お話しできれば幸いだ。

AML チーム・規制当局にとって

アドレスベースのブラックリストは、意図的なウォレットローテーションゆえに、この攻撃クラスでは 2〜3 ヶ月以内に劣化する。効果的な検知は資金フローとグラフのレベルで動作しなければならない。ChainAnalyzer の検知器スイートはこれを明確に念頭に置いて設計されている: Unicode 偽装シグネチャのための P2 ADDRESS_POISONING、クロスチェーン洗浄のための W9/W10 ブリッジ検知器、自動 BFS グラフ探索のための Follow Mode、そして 60+ の既知 CEX ホットウォレットを備えた Exchange DB。

日本市場の暗号資産事業者にとって

2月にこのネットワークで観測された 1億7,600万円分の JPYC —— そしてそれ以降の継続的なオペレーター拡大 —— は、日本のリテール利用者が特に標的にされていることを示し続けている。ChainAnalyzer の JPYC AML カバレッジは、まさにこのために構築された。もしあなたのプロダクトが JPYC を B2B 決済・クリエイター送金・EC 決済受入に使うなら、送金前スクリーニングはもはやオプションではない。

要点

• $5.3M のネットワークは、2月の報告を公開した時よりも実質的に大きくなった。調査の報道は抑止しなかった。むしろ加速させた。
• 単一の Master Funder が 60 日で 854 の新しいオペレーターウォレットに資金供給。オペレーター群は 2〜3 ヶ月周期で入れ替わる。
• Ethereum コレクターは 1,450 の送信者から $16.8M の USDT を処理; Polygon コレクターは 1,100 の送信者から $1.2M の USDC を処理。実在の被害者、実在の資金、毎日活動。
• 2つの「クジラ共犯者」は、ほぼ確実に取引所／OTC のホットウォレット。洗浄スタックはそれらの取引所内部のコンプライアンスの穴から始まる。
• フェイクトークンのデプロイヤーは2ヶ月間、新しいコントラクトを出していない。既存の 39 コントラクトで足りる。コントラクト作成ベースの検知はこれを取り逃がす。
• リテール Web3 にとって、防御は送金前のアドレススクリーニング。AI エージェントにとって、防御は ChainAnalyzer MCP サーバーによる自動スクリーニング（1チェック $1.00）。

私たちは 2〜3 ヶ月後に再びフォローアップする。それまでの間、Master Funder が今から次までに播種するすべての新しいオペレーターは、Follow Mode により自動的にタグ付けされ、ScamDB と ChainAnalyzer の検知器スイートへ伝播される。

自分で試す

上記のアドレスはいずれも chain-analyzer.com で無料でスキャンできる。または REST API、x402 のコール毎エンドポイント、あるいは任意の AI エージェントからの MCP サーバー経由でプログラマティックに。

Master Funder が播種した新しいオペレーターウォレットを見つけたら、ScamDB に報告してほしい。