• クリティカル Crypto—MCP の欠陥は、ハッカーがシードフレーズを暴露したり、ユーザー検出なしにブロックチェーントランザクションをリダイレクトしたりする。
• プロンプトインジェクションエクスプロイトにより、攻撃者は DeFi や AI アプリで使用される Base—MCP のようなインターフェース経由で暗号転送をハイジャックできます。
• 専門家は、 MCP 権限を制限し、ウォレット残高を最小限に抑え、セキュリティチェックに MCP—Scan のような信頼できるツールを使用するようユーザーに促します。

暗号ユーザーはしばしばユーザーインターフェースに焦点を当て、複雑な内部プロトコルにあまり注意を払いません。セキュリティ専門家は最近、ブロックチェーンと接続して相互作用するためのプロトコルである Crypto—MCP の重大な脆弱性について懸念を提起しました。

この欠陥によりハッカーはデジタル資産を盗む。彼らはトランザクションをリダイレクトしたり、暗号ウォレットにアクセスする鍵であるシードフレーズを暴露したりできます。

Crypto—MCP 脆弱性はどれくらい危険ですか ？

Crypto—MCP は、ブロックチェーンタスクをサポートするために設計されたプロトコルです。これらのタスクには、残高の照会、トークンの送信、スマートコントラクトのデプロイ、分散型金融プロトコルとの相互作用が含まれます。

Base の Base MCP 、 Solana の Solana MCP 、 Thirdweb MCP のようなプロトコルは強力な機能を提供します。これには、リアルタイムのブロックチェーンデータアクセス、自動トランザクション実行、マルチチェーンサポートが含まれます。しかし、プロトコルの複雑さと開放性は、適切に管理されなければセキュリティリスクももたらします。

開発者の Luca Beurer—Kellner は 4 月上旬にこの問題を最初に提起した。彼は、 MCP ベースの攻撃は、プロトコル経由で WhatsApp のメッセージを漏洩し、 WhatsApp のセキュリティをバイパスする可能性があると警告しました。

その後、 Chromia のデータと AI の Superoo 7 責任者が Base—MCP の潜在的な脆弱性を調査し、報告しました。この問題は、人気のある AI プラットフォームである Cursor と Claude に影響します。この欠陥により、ハッカーは暗号トランザクションの受信者のアドレスを変更するために「プロンプトインジェクション」技術を使用できます。

たとえば、ユーザーが特定のアドレスに 0.001 ETH を送信しようとすると、ハッカーは悪意のあるコードを挿入して資金をウォレットにリダイレクトすることができます。さらに悪いことに、ユーザーは何も間違っていないかもしれません。インターフェースは元の意図したトランザクションの詳細を表示します。

「このリスクは、「毒」された MCP を使用することから生じる。ハッカーは Base—MCP を騙して、意図した場所の代わりに暗号を送信することができます。もしそうなったら、気づかないかもしれない」と Superoo7 は言った。

開発者 Aaronjmars はさらに深刻な問題を指摘した。ウォレットシードフレーズはしばしば MCP 設定ファイルに暗号化されていない格納されます。ハッカーがこれらのファイルにアクセスできれば、簡単にシードフレーズを盗み、ユーザーの財布とデジタル資産を完全に制御することができます。

「 MCP は、相互運用性とローカルファーストのインタラクションのための素晴らしいアーキテクチャです。しかし、現在のセキュリティは Web 3 のニーズに合わせていません。ウォレットのためのより良いプロキシアーキテクチャが必要なのです」と Aaronjmars 氏は強調した。

これまでのところ、この脆弱性が暗号資産を盗むために悪用された確認されたケースはありません。しかし、潜在的な脅威は深刻です。

Superoo 7 によると、ユーザーは信頼できるソースからのみ MCP を使用し、ウォレット残高を最小限に抑え、 MCP アクセス許可を制限し、 MCP—Scan ツールを使用してセキュリティリスクをチェックすることで身を守るべきです。

ハッカーは様々な方法でシードフレーズを盗む。昨年末のセキュリティインテリジェンスからのレポートによると、 SpyAgent と呼ばれる Android マルウェアがスクリーンショットを盗んでシードフレーズをターゲットにしている。

Kaspersky はまた、 OCR を使用して画像からシードフレーズを抽出する SparkCat マルウェアを発見した。一方、マイクロソフトは、 MetaMask や Trust Wallet を含む Google Chrome の 20 暗号化ウォレットブラウザ拡張機能をターゲットとするマルウェア StilachiRAT について警告しました。