「身に覚えのない送金履歴がある」「昨日まであった残高が消えている」——メタマスクを開いた瞬間、頭が真っ白になった経験はありませんか？何が起きたのか分からず、焦って検索しても情報が多すぎて、結局どこから手をつければいいのか分からない。そんな状況に陥っている方も多いはずです。
実際、2023年には約14億円規模のハッキング被害が報告され、SNSでは個人ユーザーの被害報告も後を絶ちません。しかし、これらの被害のほとんどはメタマスク自体の脆弱性ではなく、ユーザーの操作に起因しています。つまり、正しい知識があれば防げた被害も少なくないのです。
この記事では、ハッキングされた場合の緊急対処法（リボーク・資産移動・報告先）から、よくある手口の見分け方、そして具体的な予防対策まで徹底解説します。
読み終える頃には、万が一の事態でも冷静に対処でき、大切な資産を守るための行動が明確になっているはずです。
⚠️ 先に結論をお伝えすると、盗まれた暗号資産を取り戻すことは非常に困難です。だからこそ、今のうちに対処法を知っておくことが、あなたの資産を守る最大の防御になります。
メタマスクのハッキング被害事例
2023年に発生した大規模被害（約14億円）
2023年4月、メタマスクを含むノンカストディアルウォレット（ユーザー自身が管理するウォレット）を狙ったハッキング被害が報告されました。被害額は**5,000ETH以上、約1,050万ドル（約14億円）**にのぼり、X（旧Twitter）では一時「メタマスク」「ハッキング」がトレンド入りする事態となりました。
メタマスクのセキュリティチームは「おそらくシークレットリカバリーフレーズが漏洩した」との見解を示しましたが、原因の特定には至っていません。11のブロックチェーン上のアドレスから被害が確認されており、ベテランユーザーも含む広範囲な被害でした。
個人ユーザーの被害報告も多数
大規模な事件だけでなく、SNS上では個人ユーザーの被害報告も日常的に見られます。
📌 よくある被害パターン：
- 偽サイトにウォレットを接続して数百万円相当を失った
- DM経由で届いたリンクを踏んで全資産を抜かれた
- 知らないうちにトークンの承認（Approve）をしており、後日資産が盗まれた
これらの被害に共通するのは、ユーザー自身が何らかの操作を行った結果として資産が流出しているという点です。メタマスク自体のシステムがハッキングされたわけではなく、ユーザーの操作を巧みに誘導する手口が使われています。
メタマスクがハッキングされたときの緊急対処法
ハッキングに気づいたら、迅速な対応が被害を最小限に抑える鍵となります。以下の手順で対処してください。
ハッキングされたかどうかの判断基準
まず、本当にハッキングされたのかを確認します。
🔍 ハッキングが疑われる兆候：
- 身に覚えのない送金履歴がある
- ウォレット残高が減少している
- 知らないトークンやNFTが送られてきている
- 承認した覚えのないコントラクトがある
メタマスクを開き、「アクティビティ」タブで取引履歴を確認しましょう。送金日時・送金先アドレス・金額を記録しておくと、後の被害報告に役立ちます。
接続サイトをリボーク（承認解除）する
ハッキングが確認できたら、すぐに**リボーク（Revoke）**を行います。
リボークとは、過去にウォレットで行った「トークン転送の承認（Approve）」を取り消す操作です。メタマスクの「接続解除」とは異なり、リボークをしないと悪意あるサイトがあなたの資産を操作できる状態のままとなります。
📌 リボークの手順（Revoke.cash利用）：
- Revoke.cashにアクセス
- メタマスクを接続
- 「Unlimited（無制限）」と表示されている項目を確認
- 不審な項目の「取り消す」をクリック
- ガス代を支払って承認解除を完了
⚠️ 注意： Revoke.cashにも偽サイトが存在します。必ずURLが「revoke.cash」であることを確認してください。
残っている資産を新しいウォレットへ移動する
リボークが完了したら、ウォレットに残っている資産を新しいウォレットへ移動させます。
新しいウォレット作成時の注意点
⚠️ 重要： 新しいウォレットは、必ず新しいシークレットリカバリーフレーズで作成してください。
同じメタマスク内で「アカウントを追加」しても、シークレットリカバリーフレーズは共通のままです。フレーズが漏洩している場合、追加したアカウントも同様にハッキングされます。
新しいウォレットを作成するには、別のブラウザプロファイルを作成するか、スマホアプリで新規にインストールする方法が安全です。
被害を報告する
緊急措置が完了したら、被害を報告します。
📌 報告先：
- MetaMaskサポート：MetaMask公式サイトのヘルプセンターから問い合わせ
- 警察庁サイバー犯罪相談窓口：警察庁の相談ページからオンラインで通報可能
- 各都道府県警察のサイバー犯罪対策課：電話相談も受付
被害報告の際は、取引履歴のスクリーンショット、被害額、不審なサイトのURL等を準備しておくとスムーズです。
ハッキングされたウォレットの資産は取り戻せるか
ブロックチェーンの仕組み上、回復は困難
結論から言うと、ハッキングで失った暗号資産を取り戻すことは非常に困難です。
ブロックチェーン上の取引は一度確定すると取り消すことができません。銀行のように「組み戻し」を依頼する相手もおらず、仮に犯人のウォレットアドレスが判明しても、本人を特定して返金させることは現実的ではありません。
警察に被害届を出すことは可能ですが、暗号資産の詐欺被害は国境を越えて行われることが多く、捜査・回収には高いハードルがあります。
被害後のウォレットは二度と使わない
ハッキングされたウォレットは、シークレットリカバリーフレーズが漏洩していると考えるべきです。
残った資産を移動させた後、そのウォレットは二度と使用しないでください。新たに資産を入金しても、再び盗まれるリスクがあります。メタマスクの拡張機能やアプリから該当アカウントを削除しておきましょう。
メタマスクがハッキングされる主な原因
ハッキング被害のほとんどは、メタマスク自体の脆弱性ではなく、ユーザーの操作に起因します。主な原因を理解しておきましょう。
シークレットリカバリーフレーズの漏洩
最も深刻な原因がシークレットリカバリーフレーズ（12個の英単語）の漏洩です。
このフレーズを知られると、攻撃者は別の端末からあなたのウォレットを完全に復元でき、全資産を自由に移動させることができます。
📌 漏洩の原因となる行為：
- 偽サイトでフレーズを入力してしまった
- クラウドストレージ（Google Driveなど）に保存していた
- PCがマルウェアに感染し、保存データが流出した
- スクリーンショットで保存し、それが流出した
シークレットリカバリーフレーズはオンラインで入力・保存してはいけません。正規のメタマスクがフレーズの入力を求めることは、ウォレット復元時を除いてありません。
フィッシングサイト・偽アプリへの接続
公式サイトに見せかけた偽サイトにウォレットを接続し、被害に遭うケースが多発しています。
偽サイトはGoogle検索の広告枠に表示されることもあり、URLを確認せずにアクセスすると見分けがつきません。偽のメタマスク拡張機能やスマホアプリも確認されており、インストール元の確認が重要です。
悪意あるスマートコントラクトへの署名
NFTの購入やDeFiサービスの利用時に行う「署名」や「承認（Approve）」の操作を悪用した手口です。
署名時に確認すべきポイント
メタマスクで承認を求められたら、以下を必ず確認してください。
| 確認項目 | 注意点 |
|---|---|
| 承認対象 | 知らないコントラクトアドレスではないか |
| 承認金額 | 「Unlimited（無制限）」になっていないか |
| 操作内容 | 「SetApprovalForAll」（全NFTの操作許可）ではないか |
「Unlimited」や「SetApprovalForAll」の承認は、あなたのトークンやNFTを無制限に操作する権限を相手に与えることを意味します。信頼できるサービス以外では安易に承認しないでください。
フリーWi-Fiなど安全でないネットワーク環境
カフェや公共施設のフリーWi-Fiを使用中にメタマスクを操作するのは危険です。
暗号化されていないネットワークでは、通信内容を第三者に傍受される可能性があります。特に、攻撃者が設置した偽のWi-Fiアクセスポイントに接続してしまうと、入力した情報を盗み取られるリスクがあります。
マルウェア・ウイルス感染
PCやスマホがマルウェアに感染していると、キーボード入力の記録（キーロガー）やクリップボードの監視により、パスワードやウォレットアドレスが盗まれる可能性があります。
特に、不審なソフトウェアのインストールや、メールの添付ファイルを開く行為には注意が必要です。
よくあるハッキングの手口と見分け方
偽サイト・偽メールによるフィッシング詐欺
最も多い手口がフィッシング詐欺です。公式サイトやサービスを装った偽サイト・偽メールでユーザーを騙し、シークレットリカバリーフレーズやウォレット接続を誘導します。
偽サイトの見分け方
📌 確認ポイント：
- URL：メタマスク公式は「metamask.io」のみ。類似ドメインに注意
- SSL証明書：URLが「https://」で始まり、鍵マークがあるか確認
- アクセス経路：Google検索の「広告」枠は偽サイトの可能性あり。公式サイトはブックマークからアクセス
メタマスクの公式サイト（https://metamask.io/）をブックマークしておき、常にそこからアクセスする習慣をつけましょう。
MetaMaskを名乗るKYCメール・迷惑メールへの対応
「あなたのウォレットがセキュリティ侵害を受けています」「KYC（本人確認）が必要です」といったメールが届くことがあります。
⚠️ 重要：MetaMaskはKYC（本人確認）を求めません。
メタマスクはメールアドレスの登録なしで利用できるサービスです。「MetaMask」を名乗るメールが届いた時点で、ほぼ確実に詐欺と判断できます。メール内のリンクは絶対にクリックしないでください。
SNSでの偽サポート・DM詐欺
XやDiscordで「MetaMask」「ハッキング」などのキーワードを含む投稿をすると、偽の公式アカウントやサポートを名乗るアカウントからDMが届くことがあります。
📌 典型的な手口：
- 「公式サポートです。問題を解決するにはDMで連絡してください」
- 「ウォレットを復旧するには、このフォームにリカバリーフレーズを入力してください」
公式サポートがDMで連絡してくることはありません。また、いかなる場合でもシークレットリカバリーフレーズを他人に教えてはいけません。
アドレスポイズニング（偽アドレス送金）
アドレスポイズニングは比較的新しい手口です。
メタマスクの取引履歴では、ウォレットアドレスの最初と最後の数文字のみが表示されます。攻撃者はこれを悪用し、あなたのアドレスと最初・最後の文字が一致する偽アドレスを作成。少額を送金して取引履歴に偽アドレスを紛れ込ませます。
ユーザーが送金時に履歴からアドレスをコピーする際、偽アドレスを自分のアドレスと誤認して資産を送ってしまう被害が発生しています。
送金時は必ずアドレス全体を確認してください。
身に覚えのないNFTの送付
突然、見知らぬNFTがウォレットに送られてくることがあります。このNFTに触れる（売却しようとする、詳細を確認するなど）と、悪意あるコントラクトが実行され、資産を盗まれる可能性があります。
知らないNFTは触らずに放置してください。OpenSeaなどのマーケットプレイスでは「Hidden」フォルダに移動されることが多く、そのまま無視するのが最善です。
「メタマスクを勧めてくる人」に注意
SNSやマッチングアプリで知り合った人から「投資で儲かる」「メタマスクを使えば簡単」と勧誘されるケースが増えています。
これはロマンス詐欺・投資詐欺の典型的な手口です。親密な関係を築いた後、偽の投資サイトに誘導し、メタマスクから送金させて資産を騙し取ります。
📌 警戒すべきパターン：
- 会ったことのない相手から投資を勧められる
- 「絶対儲かる」「元本保証」といった言葉が使われる
- 海外の投資サイトやアプリへの登録を促される
- 利益が出ているように見せかけ、追加入金を求める
知らない相手からの投資話には応じないでください。
メタマスクのハッキング対策
被害を未然に防ぐための具体的な対策を紹介します。
シークレットリカバリーフレーズをオフラインで保管する
シークレットリカバリーフレーズは紙に書いて、物理的に安全な場所に保管してください。
📌 やってはいけない保管方法：
- Google Drive、iCloud等のクラウドストレージに保存
- PCやスマホのメモアプリ・テキストファイルに保存
- スクリーンショットとして保存
- メールやチャットで自分宛に送信
金庫や耐火金庫での保管が理想的です。フレーズを複数の場所に分散して保管する方法もあります。
公式サイト・正規ストアからのみインストールする
メタマスクは必ず公式サイトまたは正規のアプリストアからインストールしてください。
| 種別 | 正規の入手先 |
|---|---|
| Chrome拡張機能 | Chrome Web Storeで「MetaMask」を検索、または公式サイト経由 |
| スマホアプリ | App Store / Google Play で「MetaMask」を検索 |
| 公式サイト | https://metamask.io/ |
Google検索で表示される広告枠のリンクは偽サイトの可能性があるため、公式URLをブックマークしておくことを推奨します。
ウォレットを用途別に分けて管理する
1つのウォレットで全資産を管理するのは、リスクが高い行為です。
📌 おすすめのウォレット分け：
- 普段用：NFT購入やDeFi利用など、日常的に接続するウォレット。少額のみ保管
- 保管用：長期保有する資産を保管。ほとんどサイトに接続しない
- 取引用：新規プロジェクトや信頼性が不明なサイトへの接続用。最小限の資産のみ
仮に普段用ウォレットがハッキングされても、保管用の資産は守られます。
ハードウェアウォレットで資産を保管する
長期保有する資産や高額な資産は、ハードウェアウォレットでの保管を検討してください。
ホットウォレットとコールドウォレットの違い
| 種類 | 特徴 | 例 |
|---|---|---|
| ホットウォレット | 常にインターネットに接続。利便性は高いがハッキングリスクあり | メタマスク、取引所ウォレット |
| コールドウォレット | オフラインで保管。ハッキングリスクが極めて低い | Ledger、Trezor等のハードウェアウォレット |
ハードウェアウォレットは、秘密鍵をインターネットから完全に切り離して保管するため、メタマスク単体での管理より高い安全性を確保できます。
ハードウェアウォレットの導入を検討している方は、Ledgerの偽物の見分け方と安全な購入ルートも参考にしてください。
VPNを使って通信を暗号化する
外出先や自宅以外のネットワークでメタマスクを使用する場合は、**VPN（仮想プライベートネットワーク）**の利用を推奨します。
VPNを使用すると、通信内容が暗号化され、第三者による傍受を防ぐことができます。特にフリーWi-Fi環境での利用時には効果的な対策です。
ブラウザ・アプリを常に最新の状態に保つ
メタマスクの拡張機能やアプリ、使用しているブラウザは常に最新バージョンに更新してください。
アップデートにはセキュリティの脆弱性を修正するパッチが含まれていることが多く、古いバージョンを使い続けると既知の脆弱性を突かれるリスクがあります。
よくある質問
- メタマスクは安全ですか？
-
メタマスク自体は世界で広く使われている実績のあるウォレットです。ただし、常にインターネットに接続されている「ホットウォレット」であるため、ユーザーの操作次第でハッキングされるリスクがあります。高額な資産はハードウェアウォレットとの併用を検討してください。
- メタマスクの偽物の見分け方は？
-
公式サイトのURL「metamask.io」を確認することが基本です。Chrome拡張機能の場合は、拡張機能ID「nkbihfbeogaeaoehlefnkodbefgpgknn」が正規品の識別子となります。Google検索の広告枠には偽サイトが表示されることがあるため、公式サイトをブックマークからアクセスする習慣をつけましょう。
- ウォレットアドレスを教えても大丈夫？
-
ウォレットアドレス（0xから始まる文字列）を教えるだけでは、資産を盗まれることはありません。ただし、アドレスを公開すると知らないNFTが送りつけられることがあるため、不必要に公開するメリットはありません。
- パスワードが漏れたらハッキングされる？
-
メタマスクのパスワードは、その端末でのみ有効なロック解除用のパスワードです。パスワードだけでは別の端末からウォレットにアクセスすることはできません。ただし、端末自体がマルウェアに感染している場合は、パスワード入力を記録される可能性があるため、パスワード変更とウイルススキャンを行ってください。
- iPhoneとPCで対策に違いはある？
-
基本的な対策は共通ですが、PC（ブラウザ拡張機能）の方がフィッシングサイトへの接続リスクが高い傾向があります。iPhoneアプリの場合はApp Storeを経由するため偽アプリのリスクは相対的に低いものの、偽サイトへの接続リスクは同様に存在します。どちらの環境でも、公式サイトからのアクセスとシークレットリカバリーフレーズの厳重管理が重要です。
まとめ
メタマスクのハッキング被害は、そのほとんどがシークレットリカバリーフレーズの漏洩やフィッシングサイトへの接続といった、ユーザーの操作に起因しています。
被害を防ぐために最も重要なのは、シークレットリカバリーフレーズを絶対に他人に教えない・オンラインで入力しないこと。そして、公式サイト以外からのアクセスを避け、不審な署名・承認は行わないことです。
万が一ハッキングされた場合は、リボーク → 資産移動 → 新ウォレット作成 → 被害報告の順で迅速に対応してください。ブロックチェーンの仕組み上、盗まれた資産を取り戻すことは困難なため、事前の対策が何より重要です。
高額な資産を保有している場合は、ハードウェアウォレットの導入やウォレットの分散管理を検討し、「もし1つのウォレットがハッキングされても被害を最小限に抑える」体制を整えておきましょう。
【参考情報】