8億円規模のアドレスポイズニング犯罪ネットワーク — 2ヶ月後のフォローアップ調査

おさらい —— 2026年2月に見つけたもの

2月に私たちが追跡したのは:

• 264+ のオペレーターウォレットが50+ のUnicode偽装フェイクトークン コントラクト（キリル文字 UЅDT、Lisu文字 ꓴꓢꓓt、ゼロ幅の不可視文字）を配布
• 3チェーンにまたがる 6,892+ の被ポイズニングアドレス
• 総額$5.3Mの資金移動（1億7,600万円分のJPYCを含む）
• 0x54cdcbdba40e294e8832230db706cee76e1f20f3 の 単一のMaster Funder —— 残高16,226 AVAX、1,585の受取人、53%がオペレーターと確認済み
• Ethereum（$2.67M USDT）とPolygon（$788K USDC）の2つのコレクター
• 実証済みのリレーパターン: 被害者 → 類似アドレス → リレー → コレクター、端から端まで34分

私たちが残した問いはこうだ: このネットワークは暴露された後に自壊するのか、それとも稼働し続けるのか？

フォローアップの手法

2026-04-20、2月の報告でフラグしたすべてのアドレスについてオンチェーンの状態を取得した。使用したのは Routescan（Avalanche、キー不要）、Etherscan V2（EthereumとPolygon、無料APIキー）、そして クロスチェーン相関のためのChainAnalyzer自身のNeo4jグラフだ。

各アドレスについて、ネイティブ残高・ステーブルコイン保有・最終TXタイムスタンプ・2026-02-17以降の活動を比較した。以下の数値はすべて、2026-04-20 06:45 UTC時点の公開オンチェーンデータに対して再現可能だ。

主要な差分（デルタ）

3つのことが並行して起きた: 積極的な新規オペレーターの勧誘、被害者資金のコレクターへの継続的な洗浄、そしてウォレットローテーション理論が予測した通りの、古いオペレーターウォレットの体系的な引退。

1. Master Funderは勧誘を続けている

Master Funderから直近10,000件のトランザクションを取得した。2026-02-17以降の流出にフィルタした結果:

• 1,119件のAVAX送金（アウトバウンド）
• 送金総額: 49,441 AVAX（$25/AVAXで約$1.24M）
• 854のユニークな宛先アドレス —— いずれも2026-02-17以前には資金を受け取っていない

規模感を示すと: 2月の調査は生涯累計1,585の受取人をカバーしていた。それ以降の2ヶ月で、Master Funderはさらに854の受取人を追加した —— 60日で、それまでの生涯累計の54%にあたる拡大だ。

2月17日以降の新規宛先トップ10:

このネットワークを暴露した調査は、その動きを鈍らせなかった。むしろMaster Funderの活動は加速した。

2.「最上流ソース」は共犯者ではなかった

2月、私たちはMaster Funderに5,077 AVAXを送った資金供給元 0x9f8c163c… に着目したが、完全には追跡していなかった。2ヶ月の追加データが明らかにしたのは: このアドレスはほぼ確実に取引所またはOTCのホットウォレットであり、犯罪ネットワークの一部ではない、ということだ。

根拠:

• 現在残高: 1,688,967 AVAX（約$42M）
• 最初の追跡可能な活動: 2021-09-06（ポイズニング作戦全体より4年以上前）
• 直近約10,000件のトランザクションだけで270万AVAXの流入 + 240万AVAXの流出
• 今日の挙動パターン: 1日あたり数百件の0価値 transfer 呼び出し、ルーターへの散発的な execute 呼び出し、新規アドレスへの少額支払い —— 典型的なCEXホットウォレットのアイドル／出金のフィンガープリント
• EthereumとPolygonでも活動 —— クロスチェーンのホットウォレット フットプリント

それがMaster Funderに一度送った5,077 AVAXは、十中八九中央集権型取引所からの通常の出金だった。ポイズニングのオペレーターがCEXのカウンターに歩み寄り、AVAXを引き出し、立ち去った。それは陰謀ではない。取引所のコンプライアンスの穴だ。

同様に、0x3bce63c6（「14万AVAXのクジラ」）—— 残高168,901 AVAX、今日も活動中（最終TX 2026-04-20 06:40 UTC）、同じホットウォレットのフィンガープリント。2月に主要オペレーターへ拠出した40 AVAXも、おそらく別の取引所からの出金だった。

結論: クジラ共犯者は存在しない。洗浄側の資金は、アウトバウンドのAML統制が甘い1〜2の大手取引所を起点としている。これは実務上アクショナブルであり —— 当局であればおそらくSAR（疑わしい取引の届出）に値する。

3. コレクター —— 洗浄のフロントエンドはかつてなく多忙

Ethereumコレクター 0xbca34ed5

2ヶ月で、このアドレスは 1,450の送信者から$16.9MのUSDT流入と$15.1Mの流出を処理した。差引 +$1.73M。この速度では、コレクターは1週間で2月17日時点の全残高より多くのUSDTを処理する。

Polygonコレクター 0xa6380bfd

USDC残高が減ったのは、下流へ洗浄しているからであり、被害者フローが止まったからではない。2ヶ月で1,100のユニーク送信者は、2月の合計715から増加している。リレーパターン（被害者 → リレー → コレクターを約34分以内）が、依然としてそれらの流入の大半を生んでいる。

4. ウォレットローテーションは実在した

2月に理論化したことの1つは、オペレーターウォレットは使い捨てだということだった。データは今それを裏付ける:

• 主要オペレーター 0xb2de52d8 —— 最終活動2026-02-14、私たちが公開する3日前。以降ずっと停止。
• 活動中オペレーター 0x03309000 —— 2月は3チェーンすべてで活動していた。今日: AVAX枯渇、最終TX 2026-04-15; ETH枯渇、最終TX 2026-03-04; POLほぼゼロ、最終TX 2026-02-25。
• トップオペレーター 0x0808469a —— 2月下旬〜3月上旬にさらに1,794 AVAXを受領し、その後静か。80 AVAXが残る。
• Lisuデプロイヤー 0x64424853 —— 2025-12-23以降 休眠。

Master Funderが2月17日以降に播種してきた854の新規宛先は、まさにその置き換えだ。オペレーター群はおよそ2〜3ヶ月周期で入れ替わる。

これはAMLチームにとって興味深い含意を持つ: アドレスのブラックリストは劣化する。2月のオペレーターアドレスのリストは、4月には30〜50%が陳腐化している。検知は静的なアドレスレベルではなく、資金フローと振る舞いのレベルで動作しなければならない —— それはまさにChainAnalyzerのFollow Modeとグラフクラスタリング検知器の設計そのものだ。

5. 大量ポイズニングの資金供給元は元を取った

おそらく最も衝撃的なデータポイント: Polygonの大量ポイズニング資金供給元 0xa081aa46 は、1月に6,874のアドレスをポイズニングするのにわずか $12.55 を費やした。

今日、そのアドレスは 23,435 POL（約$24K）を保有する。活動中、最終TX 2026-04-20 00:14 UTC。$12.55から$24,000+ へ —— 3ヶ月で資本の1,870倍のリターン、しかもすでに下流へ動かした資金を数える前の話だ。

これこそが、この攻撃クラスが能動的な防御なしには消えない、という経済的論拠のすべてだ。

6. デプロイヤーは新しいコントラクトを出していない —— その必要がない

0x4226dd7419b1431f512d82a2c9e5fa1597fb1077 は、39のUnicode偽装コントラクトを担った主要フェイクトークン デプロイヤーだった。2026-02-17以降に新しいコントラクトをデプロイしたか確認した。

新規デプロイはゼロ。他に200件のトランザクション。

既存の39コントラクトは今もフェイクトークンの発行と転送に使われている。デプロイヤーは稼働しているが作成はしていない —— つまり典型的な「コントラクト作成検知」のシグナルは、このオペレーターが最も活発な期間に完全に取り逃がす。

更新されたネットワーク トポロジー

これが変えること

被害者・潜在的被害者にとって

ネットワークが公開調査に晒されても、それが閉鎖につながることはなかった。2月に推奨したすべての防御的行動は、より切迫感をもって今も当てはまる: TX履歴からアドレスをコピーしない、1文字ずつ比較する、心当たりのないトークンをターゲティングのシグナルとして扱う、送る前に宛先をスクリーニングする。ChainAnalyzerはこれを chain-analyzer.com で無料で行う。MCPサーバーにより、AIエージェントは署名前にこれを自動で実行できる。

取引所にとって

2つのアドレス —— 0x9f8c163c と 0x3bce63c6 —— は合わせて、数千のポイズニング オペレーターに播種するウォレット群に資金供給してきた。私たちのレビューは、これらが取引所またはOTCのホットウォレットである可能性を強く示唆する。もしそれがあなたのものなら、あなたの出金側AML統制にはアドレスポイズニング アクター特有の盲点がある。お話しできれば幸いだ。

AMLチーム・規制当局にとって

アドレスベースのブラックリストは、意図的なウォレットローテーションゆえに、この攻撃クラスでは2〜3ヶ月以内に劣化する。効果的な検知は資金フローとグラフのレベルで動作しなければならない。ChainAnalyzerの検知器スイートはこれを明確に念頭に置いて設計されている: Unicode偽装シグネチャのためのP2 ADDRESS_POISONING、クロスチェーン洗浄のためのW9/W10ブリッジ検知器、自動BFSグラフ探索のためのFollow Mode、そして60+ の既知CEXホットウォレットを備えたExchange DB。

日本市場の暗号資産事業者にとって

2月にこのネットワークで観測された1億7,600万円分のJPYC —— そしてそれ以降の継続的なオペレーター拡大 —— は、日本のリテール利用者が特に標的にされていることを示し続けている。ChainAnalyzerのJPYC AMLカバレッジは、まさにこのために構築された。もしあなたのプロダクトがJPYCをB2B決済・クリエイター送金・EC決済受入に使うなら、送金前スクリーニングはもはやオプションではない。

要点

• $5.3Mのネットワークは、2月の報告を公開した時よりも実質的に大きくなった。調査の報道は抑止しなかった。むしろ加速させた。
• 単一のMaster Funderが60日で854の新しいオペレーターウォレットに資金供給。オペレーター群は2〜3ヶ月周期で入れ替わる。
• Ethereumコレクターは1,450の送信者から$16.8MのUSDTを処理; Polygonコレクターは1,100の送信者から$1.2MのUSDCを処理。実在の被害者、実在の資金、毎日活動。
• 2つの「クジラ共犯者」は、ほぼ確実に取引所／OTCのホットウォレット。洗浄スタックはそれらの取引所内部のコンプライアンスの穴から始まる。
• フェイクトークンのデプロイヤーは2ヶ月間、新しいコントラクトを出していない。既存の39コントラクトで足りる。コントラクト作成ベースの検知はこれを取り逃がす。
• リテールWeb3にとって、防御は送金前のアドレススクリーニング。AIエージェントにとって、防御は ChainAnalyzer MCPサーバーによる自動スクリーニング（1チェック$1.00）。

私たちは2〜3ヶ月後に再びフォローアップする。それまでの間、Master Funderが今から次までに播種するすべての新しいオペレーターは、Follow Modeにより自動的にタグ付けされ、ScamDBとChainAnalyzerの検知器スイートへ伝播される。

自分で試す

上記のアドレスはいずれも chain-analyzer.com で無料でスキャンできる。または REST API、x402のコール毎エンドポイント、あるいは任意のAIエージェントからの MCPサーバー経由でプログラマティックに。

Master Funderが播種した新しいオペレーターウォレットを見つけたら、ScamDBに報告してほしい。