前回のQiitaの記事はこちら
半年前、1つのアドレスをスキャンしたことから始まった調査が、264件のオペレーターウォレットと総額約8億円の資金フローを持つ「産業化された詐欺」にたどり着きました。この記事はその半年後の話です。ネットワークは生きているのか。当時の判断は正しかったのか。そして、あの何百回もの手作業のループは、いま何分で終わるのか。
マルチチェーン AML プラットフォーム ChainAnalyzer（chain-analyzer.com）での実調査をもとにしています。本記事に登場するアドレスはすべてパブリックチェーン上の公開情報です。
まず、半年前に何があったか（要約）
続報から読んでも分かるように、初回調査（2026年2月）の要点だけ先に書いておきます。チェーン別の内訳、Unicode 偽装の全パターン、偽トークンファクトリーの実態といった詳細は、当社サイトの調査記事にまとめてあります → 約8億円規模のアドレスポイズニング犯罪ネットワーク調査。ここでは続報を読むのに必要な骨格だけ。
アドレスポイズニングとは
アドレスポイズニング（address poisoning、アドレス汚染）は、ブロックチェーンにおけるソーシャルエンジニアリング攻撃(social engineering)の一種です。攻撃者は、あなたが過去に送金したことのあるアドレスと見た目がほぼ同じアドレスから、少額（あるいはゼロ額）のトランザクション(TX)を送りつけてきます。多くのウォレット UI はアドレスの先頭4文字と末尾4文字くらいしか表示しません。
本物: 0x54cd...20f3
偽物: 0x54cd...20f3 ← 先頭・末尾だけ一致させた別アドレス
TX 履歴に「見覚えのあるアドレス」として偽アドレスが並ぶと、次の送金でそこからコピーしてしまう。狙いはあなた自身の履歴を「汚染」して、あなたにミスを犯させることです。
1アドレスから 264 オペレーターへ
2026年2月17日、Avalanche C-Chain 上のあるアドレスをスキャンしたのが始まりでした。
0xb2de52d8...d298
結果は CRITICAL。1つのアドレスとしては「よくある悪性ノード」です。問題はその近傍でした。ChainAnalyzer の Follow Mode（監視対象の TX グラフを BFS 探索し、関連する不審アドレスを芋づる式に自動で広げる機能）を回すと、14件 → 50件 → 264件のオペレーターウォレットへと像が広がっていきました。
| 指標 | 値（初回調査時点） |
|---|---|
| 総資本移動 | 約 $5.3M（約8億円） |
| 日本円ステーブルコインのフロー | 約 1.76 億円 |
| 確認済みオペレーターウォレット | 264 件 |
| 汚染された被害アドレス | 6,892 件以上 |
| 活動期間 | 2025年4月 〜 2026年2月（10ヶ月以上） |
| 主戦場 | Avalanche / Ethereum / Polygon（クロスチェーン） |
「個人が片手間でやる詐欺」の数字ではありません。なお、Avalanche 上で日本円ステーブルコインが約1.76億円流れていた点は当時いちばん引っかかった観測で、日本のユーザーにとっても他人事ではないことを示しています。
資金の中枢：Master Funder
転換点は、複数の偽トークンデプロイヤーの入金元を遡ったら、いずれも同じ上流ウォレットに突き当たったことでした。
Master Funder (A1): 0x54cdcbdb...20f3 (Avalanche)
残高 16,226 AVAX / 送金先 1,585 件 / 2022年10月〜稼働
送金先の約53%が、アドレスポイズニングのオペレーターでした。中央のファンダーが末端に資金を配り、オペレーターが偽トークンを撒き、コレクターが搾取した資金を集約して戻す。これは個人の犯行ではなく、産業化された詐欺です。
図の配色は ChainAnalyzer の画面・レポートと同じ意味で使っています。青=調査の起点 / 赤=高リスク / 橙=要注意 / 灰=取引所などのインフラ（＝そこで遡上を止める）。この A1 / A3 / A11 / A12、そして灰色の A2 が、後半の主役になります。
産業化されていた、という手触り
細部は調査記事に譲りますが、「工業的だ」と感じた観測を4つだけ。
-
Unicode ホモグリフ（見た目が同じ別文字）で偽トークンを量産。キリル文字の
ЅをSに差し替えたUЅDT、Lisu 文字を流用したꓴꓢꓓt、さらにゼロ幅文字だけで作られた不可視のトークン名まで。コードポイントが違うので単純な文字列一致では弾けません。 - デプロイヤー専用ウォレットが偽トークンを機械的に量産（1アドレスで 39 コントラクトなど）。手作りではなく工場です。
- わずか $12.55 の初期投資で 6,874 アドレスを汚染したチェーンもありました。費用対効果が異常です。
- リレーウォレットが受領した資金を即座に次へ流し、追跡を切断。分単位で見ると、人手が介在しているとは思えない動きをしています。
手法の要点
使ったのは、マルチチェーンスキャン（1アドレスに 76+ の Detector を一括実行）、Follow Mode（グラフ BFS で近傍を自動発見）、トランザクショングラフの可視化、ML アンサンブルによる異常度の補助スコア化、の4つです。
要点は、「1アドレスの善悪判定」ではなく「グラフとしてのネットワーク同定」に軸足を置いたこと。悪性ノードを1つ見つけることは誰でもできます。難しいのは、その1つから組織の輪郭を復元することです。そこを Follow Mode（グラフ BFS）＋資金源遡上＋クロスチェーン相関の3点で埋めました。
なお、このネットワークはブリッジで繋がっているとは限らない複数チェーンにまたがっていました。攻撃者が取引所などを経由してチェーンを移ると、ブリッジの TX を追うだけでは追跡がそこで途切れます。ChainAnalyzer はブリッジの痕跡が無い場合でも複数チェーンの同一ネットワークを関連づけて1つのグラフに再構成できますが、そのための相関手法は当社独自のもので、詳細は非公開です。この一連の資金追跡・同一運営者推定の手法は特許出願中です（当社の検知技術のうち、インサイダー取引検知・ML 判定ゲート・クロスチェーン資金追跡／同一運営者推定について、2026年7〜8月に計4件を特許出願しました。いずれも審査係属中です）。
本題：半年後（2026年8月）、もう一度スキャンした
ここからが本題です。初回調査から約半年。同じネットワークの中核ノードを ChainAnalyzer で再スキャンし、公開 RPC で残高を突き合わせました。予想は「摘発されて資金が凍結・散逸しているか、あるいは放置されて死んでいるか」のどちらかでした。
どちらも外れました。組織は畳むどころか、成熟・進化していました。
中核ノードの半年間
| ノード | 役割 | 2026-02 | 2026-08（現在） | 解釈 |
|---|---|---|---|---|
A1 0x54cdcbdb...
|
Master Funder (AVAX) | 16,226 AVAX | 6,666 AVAX | 約9,560 AVAX を追加で流出＝資金分配を継続中。生きた中枢 |
A3 0xb2de52d8...
|
シード (AVAX) | 活発・CRITICAL | 残高0・休眠 | 資金を抜いて放棄。役割終了。ただし履歴は今も CRITICAL |
A11 0xbca34ed5...
|
USDT コレクター (ETH) | $2,665,507 USDT | USDT $0 / 1.86 ETH | $2.67M を全額スイープし次段へ移送。TX 激増＝passthrough として稼働継続 |
A12 0xa6380bfd...
|
USDC コレクター (Polygon) | $788,521 USDC | native USDC 約 $388,560 / 519,974 POL | USDC.e → native USDC へトークン種を替えつつ現役。まだ約$39万を保有 |
読み解くと、こういうストーリーです。
- シード（A3）は使い捨てられた。初回調査で最初にヒットしたアドレスは、いまや残高ゼロの抜け殻です。痕跡を消して手口を洗練させる、成熟した運用の証拠。
- 上流（A1）からは資金が流れ続けている。半年で約9,560 AVAX を追加放出。中枢はまったく止まっていません。
- コレクター（A11）は $2.67M をさばき切った。半年前に「集約中」だった USDT は全額が次段へ移送され、代わりに TX 数が跳ね上がっていました。滞留ではなく通過（passthrough）へと役割を変えています。
- 別コレクター（A12）はトークン種を替えて現役。凍結対象になりやすいトークンを避けるように資産構成を組み替えつつ、いまだ約$39万を保有。
初回調査で特定した中核構造が半年後も生きていること自体が、当時の検知が正しかったことを裏付けています。そして重要なのは、これが「深刻化（同じことがもっと激しく）」ではなく「成熟・進化（痕跡を消し、役割を組み替え、洗練させる）」だという点です。犯罪ネットワークは静止画ではなく、時系列で追ってこそ実像が見える——という当たり前の教訓を、改めて突きつけられました。
訂正：A2 は「上流ファンダー」ではなかった
続報にあたって、初回調査の1点を訂正します。
初回、私は A1 のさらに上流に位置する 0x9f8c163c... を「上流ファンダー（Master Funder に資金を供給する、より根元のノード）」として扱っていました。A1 へ 5,077 AVAX を供給していたのは事実で、当時はファンディングチェーンの起点候補と見ていたのです。
しかし今回、このアドレスの実データを見直したところ——
0x9f8c163c... 残高 1,136,111 AVAX / 送信 TX 約 504 万件
規模が桁違いでした。 113万 AVAX を保有し、送信トランザクションが 500 万件を超える。これは犯罪ネットワークの「上流ファンダー」の挙動ではなく、取引所ないしマーケットメイカーのホットウォレットの挙動です。犯罪組織の資金がここから出ていたのは、単に攻撃者が取引所から出金していたというだけの話で、その先を遡っても意味がありません（取引所の内部会計に突き当たるだけ）。
したがって A2 は「上流ファンダー」ではなく「取引所/MM のホットウォレット」と再評価します。調査における正しい振る舞いは、このノードを取引所として分類し、そこで遡上を止めることです。
これは調査手法として大事なポイントなので、あえて訂正として明記しました。オンチェーン調査では「資金の出所」を機械的に遡ると、どこかで必ず取引所やインフラに突き当たります。そこで止まれるかどうか（＝インフラを犯罪ノードと誤ラベルしないか）が、調査の質を大きく左右します。
そして、残高・TX 頻度といった量的なしきい値でインフラを見分けるこのヒューリスティックは、その後製品側の停止判定（stop decision）として実装しました。次の節がその話です。
手作業のループを「1入力」に畳む — IMOZURU（芋蔓）
半年前の調査で痛感したのは、「芋づる式の展開」を人手でやると時間がいくらあっても足りないということでした。1つのシードから 264 ノードへ広げるまでに、スキャン→グラフ確認→次にスキャンすべきノードの選定、というループを何百回も回しています。
このループそのものを製品側で実行する IMOZURU（芋蔓） を、その後実装し、本番環境で稼働させました。増えたのは検知ルールではありません。増えたのは「次にどこを見るか」を決め、「ここで打ち切る」と判断し、「辿った経路を文章にする」という、これまで人の手に残っていた工程の自動化です。
そして——この記事で扱った8億円ネットワークの起点アドレスを1つだけ入力して、実際に走らせました。結果がこれです。
- 標準の予算で 約12分 / 71 アドレスを自律発見（うち終端 57 件・インフラ 5 件）
- 予算を広げた深堀りでは 約13分 / 144 アドレス
- 取引所・DEX ルーター・ブリッジに到達した枝は、そこで自動的に遡上を停止（実測でインフラ 5〜7 件を検出して停止）
- 同一運営者の**「確認済み」判定 4 件**（確認済み＝直接観測に基づくもの。状況証拠を合成した「推定」とは分けて出力されます）
- 完了時に 調査報告書 PDF（8章）と調査ケースを自動生成
前節の訂正が、そのまま仕様になっています。 半年前に私自身が「上流ファンダー」と誤ラベルした種類のノード——取引所・DEX ルーター・ブリッジ——を、いまはツール側が既定で検出し、その枝の遡上をそこで止めます。終端は「資金が消えた場所」ではなく、次に誰へ照会するか / どこで追跡を再開するかを示すマーカーとして報告書に残ります。間違えたら直す。それができることも、ツールと調査者の実力のうちだと考えています。
出力で特に気を遣ったのは、機械が観測した事実と、AI が書いた解釈を混ぜないことです。報告書は各章の見出しに「AI 生成」「機械抽出」のラベルが付き、法的手続や届出に用いる場合は「機械抽出」の章を原典として裏取りできます。資金規模の指標も「観測できた取引だけを集計した下限値」であることを明示していて、定義が一意に定まらない「被害総額」という語は使いません。同一運営者の同定も、直接観測に基づく「確認済み」と状況証拠を合成した「推定」を分けて出します。この出力の読み方と使い方は IMOZURU のドキュメントに、機能としての位置づけはリリースノートに書いています。
※ 件数と所要時間は、対象ネットワークの形・外部データ提供元の応答状況・与えた予算によって変わります。同じ入力でも常に同じ件数になるとは限らず、上記の数値を再現保証するものではありません。
身を守るために
半年経っても、ユーザー側の防御策は変わりません。技術者・ユーザー双方に効く実践的な対策です。
- 履歴からアドレスをコピーしない。必ずアドレス帳（許可リスト）か QR から。
- 先頭・末尾だけで照合しない。中間の桁までフル確認する。ハードウェアウォレットの全桁表示を活用。
- 見覚えのないトークンの受信は、それ自体がポイズニングのサインかもしれない。安易に触らない・スワップしない。
- 少額のテスト送金を先に行い、着金アドレスを実地確認してから本番送金する。
- ウォレット/ツール側は、トークンシンボルを Unicode 正規化してから表示・照合する。生の文字列一致は危険。
まとめ
- 半年前に同定した8億円規模のアドレスポイズニング網は、まだ生きていた。中枢（A1）は資金を配り続け、コレクター（A11/A12）は資産を移し替えながら稼働を続けている。
- ただし「深刻化」ではなく「成熟・進化」だった。使い終えたシード（A3）は残高ゼロで放棄され、凍結されにくいトークンへ組み替えが進んでいる。時系列で追わないと見えない変化である。
- 初回調査の1点を訂正した。A2 は「上流ファンダー」ではなく取引所/MM のホットウォレットで、そこは遡上を止めるべきノードだった。
- その訂正を製品の停止判定として実装し、同じネットワークの起点1件から **約12分で71アドレス（深堀りで約13分・144アドレス）**を自律発見・インフラ到達で自動停止・報告書 PDF とケースの自動生成までを実走で確認した。
- 日本発のステーブルコインが射程に入っている以上、これは国内ユーザーにとっても現在進行形の脅威である。
おわりに
半年前、私は「1アドレスから8億円のネットワークが見えた」という話を書きました。半年後にわかったのは、そのネットワークがまだ生きていて、痕跡を消しながら回り続けているという事実と、自分の当時の判断に1つ誤りがあったという事実です。
前者はツールの検知が正しかったことの裏付けであり、後者は調査を続けることの価値そのものです。ブロックチェーンの記録は消えません。だからこそ、半年後でも、1年後でも、同じネットワークを追い続けられる。それがオンチェーン AML のいちばんの強みだと、改めて思います。
そしてもう一つ。半年前は人手で何百回も回していた芋づる式の展開が、いまは1入力で走ります（IMOZURU）。同じネットワークを、同じ起点から、十数分で。
ChainAnalyzer は 10 チェーン対応・76+ の Detector・グラフ探索・ML アンサンブルを備えたマルチチェーン AML プラットフォームです（chain-analyzer.com）。初回調査の全容はこちらの調査記事に、この手の調査に興味がある方はぜひ触ってみてください。
前回のQiitaの記事はこちら