1.76億円分のJPYCが流れていた — 8億円規模のアドレスポイズニング犯罪ネットワークを解剖する
2026年2月17日
きっかけは、Avalanche上のたった1つのアドレスをスキャンしたことでした。
調査を進めていくと、その先には 264以上のオペレーターウォレット、$5.3M（約8億円）以上の資本移動、6,892件以上の汚染されたアドレス、そして3つのチェーンにまたがる巨大なネットワークが広がっていました。全てを束ねていたのは、たった1つの「Master Funder」ウォレットです。
そして何より気になったのが、ネットワーク内を流れていた 1.76億円分のJPYC（日本円ステーブルコイン）。日本人ユーザーが標的にされている可能性を示す、無視できない痕跡でした。
これはその全記録です。
アドレスポイズニングとは？
まず基本から説明させてください。アドレスポイズニングは、トランザクション履歴を悪用するソーシャルエンジニアリング攻撃です。
攻撃者は、あなたが過去に送金したことのあるアドレスと見た目がほぼ同じアドレスから、少額（またはゼロ額）のトランザクションを送りつけてきます。最初の4文字が同じ、最後の4文字も同じ。
次にあなたがTX履歴からアドレスをコピーしようとした時、偽物のほうをコピーしてしまう。そのまま送金してしまえば、資金は攻撃者の元へ流れます。
シンプルで、コストはほぼゼロ。でも大規模にやると恐ろしく効果的な手口です。
発見の経緯
2026年2月17日、私はTokenForgeのマルチチェーンスキャナーでAvalanche C-Chainのアドレス（0xb2de52d8...d298）をスキャンしました。結果は CRITICAL — リスクスコア 0/100、20件の検知。制裁対象カウンターパーティとの接触、Peel Chainパターン、トークンリレーチェーンなどが一気に検出されました。
ただ、このアドレスは氷山の一角に過ぎませんでした。
TokenForgeの ウォッチリスト フォローモード（監視中アドレスのTXグラフを自動探索して関連ウォレットを発見する機能）を有効にしたところ、関連ウォレットが次々と見つかっていきます。14件が50件に。50件が264件に。そしてまだ増え続けています。
攻撃手法：Unicode偽装
今回見つかったのは、単純なゼロ額送金のポイズニングではありませんでした。攻撃者は 50以上の偽トークンコントラクトをデプロイし、Unicode文字の置き換えによって本物とまったく同じ見た目のトークンを作り出していたのです。
| 偽トークン | 本物 | トリック |
|---|---|---|
| UЅDT | USDT |
Ѕ = キリル文字 DZE (U+0405) — ラテン文字の S と見た目が同じ |
| UЅDС | USDC |
Ѕ = U+0405, С = U+0421 (キリル文字 ES) |
| АVAX | AVAX |
А = U+0410 (キリル文字 A) |
| ꓴꓢꓓt | USDt |
ꓴꓢꓓ = リス文字（Lisu script） |
| BTС | BTC | キリル文字の С
|
| 不可視 | USDt | ゼロ幅結合子 + 書字方向制御文字 |
USDT と UЅDT、違いがわかりますか？ ほとんどのウォレットUIでは見分けがつきません。それが狙いです。
さらに リス文字（Lisu script）という、ラテン文字にそっくりだけどコードポイントが全く違うマイナーなUnicodeブロックの文字も使われていました。おまけに、ゼロ幅Unicode文字を使って完全に透明なトークン名まで。ここまでやるかという徹底ぶりです。
規模：数字で見る全体像
| 指標 | 値 |
|---|---|
| 総資本移動額 | $5,325,000+（約8億円） |
| ステーブルコイン流通額 | $5,038,400 (USDC, JPYC, EURC, XSGD, USDt) |
| うちJPYC | 1.76億円（~$1.18M） |
| AVAX配布量 | 11,255 AVAX (~$287,000) |
| 活動期間 | 2025年4月 — 2026年2月（10ヶ月以上） |
| オペレーターウォレット | 264件確認（推定400-800件以上） |
| 偽トークンコントラクト | 50件以上 |
| 配布された偽トークン種類 | 112,233種 |
| 汚染されたアドレス | 6,892件以上 |
| 活動チェーン | Avalanche, Ethereum, Polygon |
資金を追う：Master Funderの発見
調査には必ず転換点があります。今回は、偽トークンデプロイヤーの資金源を辿った瞬間でした。
3つのデプロイヤーアドレスが50以上の偽トークンコントラクトを作成していて、3つとも初期AVAXを同じ上流ソースから受け取っていました。そのチェーンをさらに辿ると、1つのウォレットに行き着きます。
0x54cdcbdb... — Master Funder
- 残高: 16,226 AVAX (~$400K+)
- 活動開始: 2022年10月
- 送金先: 1,585アドレス
- 資金源: 429アドレス
- 総トランザクション: 900件以上
Master Funderの送金先上位500アドレスを分析してみました。結果は衝撃的でした。
送金先の53%が、アドレスポイズニングのオペレーターだったのです。
約264のオペレーターウォレットが、それぞれAVAXの資金提供を受けて偽トークンを配布し、ターゲットのTX履歴を汚染していました。全1,585アドレスに外挿すると、ネットワーク全体で 400〜800以上のオペレーターが存在する可能性があります。
個人の犯行ではありません。これは産業化された詐欺です。
クロスチェーンの全体像
このネットワークは3つのチェーンにまたがっています。
Ethereum:
- コレクターアドレスに $2,665,507 USDT
- 8つのそっくりアドレスがポイズニング用に作成
- リス文字の偽トークン（
ꓴꓢꓓꓔ）をデプロイ - 複数のリレーウォレットがコレクターに資金を転送
Polygon:
- コレクターアドレスに $788,521 USDC + 249,588 POL
- 1つのファンダーが 6,874アドレスを汚染 — 投資額はたったの$12.55
- 同じリス文字デプロイヤー（
0x64424853...）がPolygon上に 28種の偽トークンをデプロイ - トークン名にURLを埋め込んだフィッシングトークンも（例:
swap for $POL(me-qr.com/...)） - コレクターへの送金元上位30件を分析: 67%がリレーウォレット、27%がリレー疑い
Avalanche:
- 主要オペレーション拠点
- $5M以上のステーブルコインがDeFi経由で流通（Aave V3レンディング、DEXスワップ）
- 18以上のそっくりアドレスが特定ターゲットを狙う
- JPYCフロー: 1.76億円（~$1.18M） — 日本人ユーザーが標的にされた痕跡
JPYCと日本人ターゲティング
調査の中で特に気になったのが、大量のJPYC（日本円ステーブルコイン）の存在です。
Avalancheの主要オペレーターは、こんなDeFi活動を行っていました：
- AVAX ↔ USDC ↔ JPYC ↔ EURC のDEXスワップ
- Aave V3でのUSDC/EURC/AVAXレンディング
- 複数通貨でのステーブルコイン運用
1.76億円分のJPYCが動いている。これはこのネットワークが日本円建ての資産を積極的に取り扱っていたことを意味しています。考えられるシナリオは3つあります：
- 日本人ユーザーからの被害金がJPYCで流入した — ポイズニングの被害者が日本人
- 日本のDeFiマーケットを利用した資金洗浄 — JPYC↔USDC↔AVAXの変換ルート
- DeFiイールド目的 — JPYCのレンディング/LPで利回りを稼ぐ
いずれにせよ、日本のクリプトユーザーにとって他人事ではありません。
リレーウォレットパターン
Polygonでは最も生々しい運用パターンが観察されました。
実際に確認されたリアルタイム事例です：
- 18:20 — 2,800.10 USDC を正規の送金元から受信
- 18:20 — 2,800.10 ꓴꓢꓓС（偽物）をそっくりアドレスから受信
- 18:21 — 0.00 USDC を別のそっくりアドレスから受信
- 18:54 — 2,800.10 USDC をコレクターに転送（34分後）
ポイズニングとリレーが同じブロックで起きています。完全に自動化されたオペレーションです。
DeFiをカモフラージュに
Avalancheの主要オペレーターは、ポイズニングだけでなくDeFiも積極的に使っていました：
- USDC/EURC/AVAXを Aave V3 に供給してレンディング
- AVAX、USDC、JPYC、EURCのDEXスワップ
- 流動性提供
目的は2つ。運用資金で利回りを稼ぐことと、正当なDeFi活動に見せかけて疑いの目を逸らすことです。
被害者はいるのか？
3チェーンで特定されたそっくりアドレスを全て調査しました：
- Avalanche: 18件のそっくりアドレス — 直接被害の確認なし
- Ethereum: 8件のそっくりアドレス — 直接被害の確認なし
- Polygon: 6,874アドレスの大規模汚染 — リレーパターンのリアルタイム事例で確認
Avalanche/Ethereumで直接被害が見つからない理由としては、以下が考えられます：
- まだ「種まき」段階（TX履歴を汚染して、ミスを待っている）
- まだ調査していないチェーンで被害が発生している
- DeFiアービトラージが主収入で、ポイズニングは副次的
ただし、Polygonのコレクターには 715件の送金元から$788K USDCが集まっていて、そのうち67%以上がリレーウォレットと確認されています。少なくともこのチェーンでは、被害者からの搾取が活発に行われていると考えて間違いなさそうです。
偽トークンファクトリー
メインデプロイヤー（0x4226dd74...）だけで、2025年9月から2026年2月までに 39の偽トークンコントラクトを作成していました。他のデプロイヤーも合わせると、ネットワーク全体で 50件以上です。
デプロイは非常に計画的でした：
- 同じ偽トークンに複数のコントラクト（例: UЅDTが複数存在）
- リス文字デプロイは3波に分けて実施（12月12日、18日、21日）
- 各トークンは1,000,000ユニットでミント
- 難読化手法を段階的に高度化（キリル文字 → リス文字 → ゼロ幅文字）
ネットワーク全体の構造
どうやって見つけたのか
この調査は TokenForge（マルチチェーン暗号資産セキュリティ分析プラットフォーム）で実施しました。調査を可能にした主な機能は以下の4つです：
- マルチチェーンスキャン — Ethereum、Polygon、Avalancheに対応したEVM検知ロジック（制裁、ミキサー、Peel Chain、トークンリレー、Sybil集約、アドレスポイズニング）
- ウォッチリスト フォローモード — 1つのシードアドレスからTXグラフを自動探索して関連ウォレットを発見
- Neo4jトランザクショングラフ — ネットワーク全体のトポロジーと資金フローを可視化
- PDFセキュリティレポート — 各アドレスの調査結果を文書化
最初の 0xb2de52d8... のスキャンで20件の検知。フォローモードが15件以上の関連アドレスを自動発見。そこから手動調査を広げて、264以上のオペレーターとMaster Funderまで到達しました。
今後の展開
- 特定されたアドレスはすべてTokenForgeの内部脅威データベースに追加済み
- 調査は継続中 — Master Funderの送金先 #501〜1585 はまだ分析途中
- Master Funderの最大資金源（
0x9f8c163c...— 5,077 AVAX）はまだ完全には追跡できていません - Snowtrace/Etherscanへのコミュニティ報告を計画中
- ネットワークは2026年2月17日時点でまだ活動中です
身を守るために
- TX履歴からアドレスをコピペしない。 必ずアドレス帳を使うか、送金元から直接コピーしてください。
- アドレス全体を確認する。 最初と最後の4文字だけで判断するのは危険です。
- 知らないトークンがウォレットに入ってきたら要注意。 自分で買っていないトークンが入ってきたら、ポイズニングの可能性が高いです。
- 送金前にアドレスをスキャンする。 TokenForgeのようなツールで事前にリスクを確認できます。
- Unicodeの偽装に気をつける。 トークン名が正しく見えても「不明なトークン」と表示される場合は調べてみてください。
まとめ
- アドレスポイズニングは 産業規模のオペレーション です。個人ハッカーの仕業ではありません
- 1つのMaster Funderが 数百のオペレーターウォレット を複数チェーンにまたがって運営できてしまいます
- 攻撃コストはほぼゼロ（$12.55で6,874アドレスを汚染）なのに、リターンは莫大です
- Unicode偽装（キリル文字、リス文字、ゼロ幅文字）によって、ほとんどのウォレットUIで偽トークンを見分けることができません
- DeFiプロトコルがカモフラージュと利回り生成に悪用されています
- 1.76億円分のJPYCが流通していたことは、日本人ユーザーが標的にされていることを強く示唆しています
- 今回発見したネットワークは、記録されている中で最大規模のアドレスポイズニング組織かもしれません
この調査は TokenForge (https://token-forge.me) を使用して実施しました。すべてのアドレスおよび調査結果は、公開されているオンチェーンデータに基づいています。
これらのアドレスに関する情報をお持ちの方、または被害に遭われた方は、ぜひご連絡ください。取り返すことを保証するものではありません。