Holdstationが462,000 USDTをハッキングされました：これがハッカーがMFAをすり抜けて2分で資金を引き出す方法

2026年2月26日 – ベトナムに拠点を置くDeFAI Holdstationのスマートウォレットプロジェクト（WorldcoinとBNB Chain上に構築）は、2026年2月25日未明に深刻なサプライチェーン攻撃の被害を受けたことを確認しました。総被害額は462,000 USDTです。

これは2026年に入ってからの同プロジェクトの2回目のセキュリティインシデントで、1月の約10万ドルの流出に続くものです。

サプライチェーン攻撃：スマートコントラクトではなく配信インフラを狙う

公式発表によると、ハッカーはユーザーのウォレットやスマートコントラクトに直接侵入したわけではありません。Holdstationと監査会社のVerichainsは、スマートコントラクトは安全であると断言しています。

代わりに、攻撃者はアプリの配信インフラを狙いました。これは、ユーザーにアップデートを提供する部分です。

具体的には、ハッカーは以下の操作を行いました：

インフラを掌握した後、攻撃者は公式アプリのJavaScriptファイルを改ざんし、バックドアとしてマルウェアを埋め込みました。ユーザーがアプリを更新すると、意図せず感染したバージョンをインストールしてしまいます。

「静かに」資金引き出しの仕組み

マルウェアはインストール直後に動作するように設計されています。

その結果、感染したアップデートがリリースされてから数分以内に、多くのウォレットから資金が引き出されました。

Holdstationの緊急対応（30分以内）

公開されたタイムライン（UTC+7）によると：

その後、HoldstationはVerichainsと連携し、オンチェーンデータの分析と証拠収集を行い、調査を進めました。

現在までに確認された総被害額は462,000 USDTです。

ユーザーへの100％返金を約束

Holdstationは、影響を受けた資産の価値を100％補償することを約束しています。ユーザーは以下の公式フォームに記入してください：

https://forms.gle/9FriUzFWHx6ZPXCS7

チームはオンチェーンの検証とウォレット所有権の確認を行った後、返金を実施します。プロジェクトは、返金手続き中にシードフレーズやプライベートキー、手数料の請求を行わないことを強調しています。

セキュリティの教訓

この事件は、スマートコントラクトが安全であっても、ソフトウェア配信インフラの脆弱性が大きな損失を引き起こす可能性があることを示しています。これはサプライチェーン攻撃の一種であり、ハッカーは製品の「入口」に侵入し、直接ユーザーを攻撃するのではなく、配信経路を狙います。

Holdstationは、リリースプロセス全体のアップグレードを進めていると述べています。

この事件は、ホーチミン市に拠点を置くDeFiウォレットプロジェクトの一つとして、ベトナムの暗号通貨コミュニティから大きな関心を集めています。

今後も調査の進捗を随時更新していく予定です。

ヴォアン・ティエン