出差から帰って財布を開けたら—残高がゼロになっていた。これは映画のストーリーではなく、実際に起こった悪夢だ。あるユーザーが妻に協力を依頼して300万USDTの送金をしたところ、飛行機が着陸した瞬間に天文学的な赤字に変わっていた。警察は最初操作ミスだと考えたが、妻の言い分は奇妙だった：「私は助記詞を貼り付けただけで、送金操作は一切触っていません。」真相が明らかになると、さらに背筋が凍る事実が判明した—無害に見える貼り付け動作の裏には、ハッカーによる数ヶ月にわたる潜伏監視が隠されていた。

ブロックチェーンのセキュリティ業界で長年活動してきた経験から、似たような血と涙の教訓は数多く見てきた。今日はこの事件を詳しく解説し、あなたが知っておくべき防御の最低ラインをお伝えする。

**なぜ防御が突破されたのか？**

犯人は高度な0day脆弱性ではなく、最も基本的な操作の悪習にあった。助記詞を直接微信のチャットに保存していた—これはまるで家の鍵をSNSに投稿するようなものだ。微信のキャッシュ、スマホのアルバム、クラウド同期など、あらゆる場所に痕跡が残る。ハッカーは「金融助手」という悪意のあるブラウザプラグインを使い、リアルタイムでクリップボードの内容を取得していた。このプラグインは一見無害に見えるが、実際にはクリップボードの読み取り権限を持っており、あなたが助記詞を貼り付けた瞬間、そのデータはハッカーのサーバーに送信されていた。

もう一つの共謀者は、古いAndroid端末と3年以上変更していないWiFiパスワードだ。古いシステムには脆弱性が多く、弱いパスワードのWiFiはハッカーの長期潜伏拠点となる。この「死のコンビネーション」がすべての防御線を打ち破った。

こうした事例は業界内で頻繁に起きている。浙江温州のあるプレイヤーは偽のウォレットQRコードをスキャンして30分以内に数十万円を失った。南通如東のユーザーはハッカーに秘密鍵を破解され、400万以上の仮想資産が一夜にして消えた。同じ話だが、被害者は異なる。

**どうやって自分を守るか？** この3つを覚えておこう：第一、助記詞は絶対にネットに繋がない、コールドストレージが最も安全だ；第二、端末のシステムは定期的にアップデートし、WiFiのパスワードは半年ごとに変更する；第三、ブラウザのプラグインをインストールする際は権限を必ず確認し、クリップボードアクセス権限は拒否できるなら拒否する。油断大敵、これは冗談ではない—これは真剣に金銭を守るための忠告だ。