クラウド開発プラットフォーム Vercel は4月19日にハッキング被害を受けました。攻撃者は従業員が使用していた第三者のAIツールを通じてアクセス権限を取得し、さらにフォーラム上で盗まれたデータを公開販売している疑いがあり、買い値は200万ドルに上ります。多数の暗号プロジェクトがウォレットのインターフェースと dApp フロントエンドのデプロイを Vercel に置いているため、この事件は暗号コミュニティにも懸念を引き起こしました。
侵入の発端：従業員の第三者AIツール OAuth が侵害
Vercel は公式のセキュリティ公告で、従業員が使用していた第三者AIツール Context.ai が提供する Google Workspace OAuth アプリケーションが侵害されたと述べています。攻撃者はこれによって当該従業員の Google Workspace アカウントを乗っ取り、そこから Vercel 内部のデータに侵入しました。
Vercel の CEO Guillermo Rauch は X で、今回の攻撃は同じツールを使用している数百の組織に影響する可能性があり、Vercel だけにとどまらないと明かしました。
Rauch は、ハッカーの攻撃計画を「高度に精密」だと表現し、相手が AI を活用して侵入行動を大幅に高度化したのではないかと疑っています。これは、Vercel の内部アーキテクチャに対する深い理解を示しているとのことです。現在、Google 傘下のサイバーセキュリティ会社 Mandiant が調査を支援しており、Vercel も関係する捜査当局に通知しています。
ハッカー組織のメンバーが200万ドルを脅迫
Vercel は、機密データはすべて暗号化して保存されており、アクセスされたわけではないと認めています。しかし「機密」として標示されていないその他のデータは、攻撃者によって読み取られ、利用された可能性があります。
Telegram 上で拡散しているフォーラム投稿のスクリーンショット
自称しているハッカー組織 ShinyHunters 関連者が、サイバー犯罪フォーラム BreachForums に投稿し、Vercel の API キー、NPM token、GitHub token、ソースコード、そして社内データベースの内容を入手したと主張し、「侵害の証明」として約580件の従業員データを公開しました。これには、従業員名、会社の電子メール、アカウント状態、活動時間が含まれます。
ShinyHunters は関与を否認、身代金交渉の真相は不明
信じがたいことに、投稿者は自分が ShinyHunters だと名乗っているにもかかわらず、同組織は今回の事件への参加をすでに公に否認しているため、攻撃者の本当の正体は謎のままです。
攻撃者は同時に、200万ドルの身代金について Telegram と Vercel を通じて交渉したと主張し、データの一部を取り戻すために最初に50万ドルのビットコインの支払いを求めたものの、Vercel はこの件を確認していません。
暗号協議が赤信号：フロントエンドがサプライチェーンの新たな攻撃面に
Vercel の件が暗号分野に与える影響は軽視できません。大量の分散型取引所 (DEX) とウォレットのフロントエンド、ならびに dApp ダッシュボードが Vercel 上にデプロイされています。もし、関連する暗号プロジェクトの秘密 RPC エンドポイント、第三者 API キー、またはウォレット関連の機密が、「機密」として標示されていないデータの中に保存されていた場合、これらの情報は漏えいしてしまう可能性があります。
For context, a lot of DeFi is hosted on Vercel and crypto users are a prime target for such attack.
If you need to use DeFi in this time of crisis, verifying what you sign is of utmost importance! You can also use .eth.limo (just hacked but back up and running) or IPFS frontend…
— Pybast (@Pybast) April 19, 2026
簡単に言えば、攻撃者は理論上、DNS 層での監視・防護を回避するだけでなく、プロジェクトのサイトやインターフェースを直接改ざんし、クリックを誘導して悪意のあるコントラクトに署名させることができます。現時点では、いかなるプロトコルもこれによる被害を報じてはいませんが、各社のセキュリティチームはこれを潜在的な重大リスクとして挙げています。
実際、暗号界のフロントエンド安全上の問題は、すでに業界の慢性的な悩みです。DEX CoW Swap は先週、ドメインハイジャックで取引を停止したばかりで、Aerodrome と Velodrome も昨年11月に DNS ハイジャック攻撃を受けました。
Vercel がデータ更新を発表し、ユーザーに金キーの即時差し替えを呼びかけ
Vercel は、同社のサービスは現在正常に稼働しており調査も継続中であるとし、同時にデータ管理ダッシュボードを更新しています。公式には、すべてのユーザーに対し、既存データを直ちに全面的に点検し、「機密」として標示されていないすべてのデータに対して金キーを交換するとともに、プラットフォームの機密変数機能を有効化し、関連する資格情報が暗号化された形で保存されるようにすることを強く推奨しています。
この記事 署名内容にご注意！Vercel がハッキングされ 200万ドルを身代金要求、暗号プロトコルのフロントエンド安全に警戒が発令 最初に 鏈ニュース ABMedia に掲載されました。
関連記事
