※本記事にはアフィリエイト広告を含みます。
※今回、特定のイーサリアム関連サービスで盗難被害が発生したと公表されたわけではありません。本記事では、Webサイトから配信されるプログラムが改ざんされるリスクと、その対策として開発されているWEBCATについて解説します。
イーサリアム財団は2026年8月5日、Webサイトから配信されたプログラムが、開発者の公開したものと一致するかを検証する「WEBCAT」の開発支援を発表しました。
WEBCATは、Freedom of the Press Foundationが開発するオープンソースのセキュリティツールです。
仮想通貨の詐欺対策では、公式サイトに似せた偽サイトを避けるため、URLやドメインを確認することが重要とされています。
しかし、正しいドメインへ接続していても、Webサイトのサーバーやプログラムの配信環境が侵害されれば、改ざんされたプログラムが正規サイトから届く可能性があります。
ここでいう「画面改ざん」は、表示される文章や画像だけを書き換えることではありません。
画面の裏側で送金や交換の処理を作るプログラムが変更され、利用者の意図とは異なる取引がウォレットへ渡されるリスクも含みます。
つまり、正しいURLへアクセスしていることだけでは、Webサイトから届いたプログラムまで正しいとは確認できない場合があります。
この記事では、Web3アプリの画面改ざんとは何か、HTTPSだけでは防ぎきれない理由、WEBCATが何を検証するのか、利用者が現在できる対策を初心者にも分かりやすく解説します。
目次
- 1 イーサリアム財団がWEBCATの開発を支援
- 2 Web3の「フロントエンド」とは？
- 3 正しい公式サイトでも注意が必要なのはなぜ？
- 4 プログラムが改ざんされると何が起きる？
- 5 HTTPSだけでは防ぎきれない？
- 6 WEBCATはどのように改ざんを確認する？
- 7 WEBCATは報道機関向けの技術から生まれた
- 8 イーサリアム財団の助成金は何に使われる？
- 9 WEBCATとClear Signingは何が違う？
- 10 WEBCATですべての被害を防げるわけではない
- 11 仮想通貨利用者が現在できる対策
- 12 Web3アプリを使わずに仮想通貨を保有する方法もある
- 13 自分に合う国内仮想通貨取引所を診断
- 14 よくある質問
- 15 まとめ：正しいURLに加えて取引内容の確認も必要
- 16 出典・参考
イーサリアム財団がWEBCATの開発を支援
イーサリアム財団は2026年8月5日、Freedom of the Press Foundationへ助成金を提供し、WEBCATの開発を支援すると発表しました。
今回の支援は、イーサリアムの安全性向上を目指す「Trillion Dollar Security（1TS）」の取り組みの一つです。
Trillion Dollar Securityは、個人だけでなく、企業や金融機関などもイーサリアム上で多額の資産を管理できる環境を目指す取り組みです。
ブロックチェーン本体やスマートコントラクトだけでなく、ウォレット、Webサイト、署名画面など、利用者が実際に操作する部分も対策の対象とされています。
今回支援するWEBCATは、Webサイトからブラウザへ配信されたプログラムが、開発者の公開したものと一致するかを検証するツールです。
イーサリアム財団は、Web3アプリの画面側に検証手段が不足していることを「フロントエンド検証の空白」として問題視しています。
Web3の「フロントエンド」とは？
フロントエンドとは、利用者がブラウザやアプリで実際に操作する画面と、その画面を動かすプログラムのことです。
Web3アプリでは、仮想通貨の交換、送金、ステーキング、NFTの購入などを行う画面がフロントエンドにあたります。
たとえば、分散型取引所でイーサリアムを別の仮想通貨へ交換する場合、利用者はWebサイト上で次のような操作を行います。
- 交換する仮想通貨と数量を入力する
- 交換後に受け取る数量を確認する
- ウォレットを接続する
- ウォレットへ送られた取引内容を確認する
- 問題がなければ取引へ署名する
利用者が入力した情報をもとに、フロントエンドのプログラムが取引内容を作り、ウォレットへ渡します。
そのため、ブロックチェーンやスマートコントラクトが正常でも、取引内容を作るプログラムが改ざんされていれば、利用者が意図していない取引を作られる可能性があります。
ブロックチェーン本体が安全であることと、利用者が操作するWeb画面やプログラムが安全であることは別の問題です。
正しい公式サイトでも注意が必要なのはなぜ？
一般的なフィッシング詐欺では、公式サイトに似せた偽サイトへ利用者を誘導します。
そのため、URLやドメインを確認することは、現在も重要な対策です。
ただし、今回イーサリアム財団が対策を支援するのは、偽サイトだけではありません。
正しいドメインへアクセスしていても、次のような場所が侵害されれば、改ざんされたプログラムが配信される可能性があります。
- Webサイトのサーバー
- 開発者や管理者のアカウント
- プログラムを公開するまでの開発・配信環境
- Webサイトが外部から読み込むプログラム
ブラウザは、Webサイトから受け取ったプログラムを読み込み、画面を表示します。
見た目が以前と同じでも、裏側の処理だけが変更されている場合、利用者が目視で異常に気づくのは困難です。
今回のタイトルにある「正しい公式サイトでも注意が必要」とは、公式サイトが常に危険という意味ではありません。
正しいURLへ接続していることと、届いたプログラムが開発者の公開したものと一致していることは、別々に確認する必要があるという意味です。
プログラムが改ざんされると何が起きる？
イーサリアム財団は、改ざんされたフロントエンドによって、送金先を変更されたり、画面に表示された内容とは異なる取引への署名を求められたりする可能性を指摘しています。
考えられる流れの一例は、次のとおりです。
- 利用者が正しいドメインのWeb3アプリを開く
- 侵害されたサーバーなどから改ざんされたプログラムが配信される
- 利用者が仮想通貨の交換や送金内容を入力する
- 改ざんされたプログラムが、利用者の意図とは異なる取引内容を作る
- 利用者のウォレットへ署名依頼が送られる
- 利用者が内容を確認せずに署名する
- 署名された取引がブロックチェーン上で実行される
ブロックチェーンは、利用者が本当にその取引を望んでいたかまでは判断しません。
有効な秘密鍵による署名が行われれば、原則として署名された内容に従って取引が実行されます。
仮想通貨の送金は、ブロックチェーン上で確定すると、銀行振込のように後から取り消すことが難しい仕組みです。
そのため、改ざんされたプログラムを通じて意図しない取引へ署名すると、資産を取り戻せない可能性があります。
HTTPSだけでは防ぎきれない？
Webサイトの安全性を確認する際、「https://」から始まるURLや、ブラウザに表示されるサイト情報を確認する人も多いでしょう。
HTTPSには、主に次の役割があります。
- 接続先のドメインを確認する
- ブラウザとWebサイトの間の通信を暗号化する
- 通信途中で内容を盗み見たり、書き換えたりする攻撃を防ぎやすくする
一方、HTTPSは、Webサイトから配信されたプログラムが、開発者の公開したものと一致することまでは証明しません。
サーバー自体から改ざんされたプログラムが配信された場合、そのプログラムもHTTPSで暗号化され、利用者へ届けられる可能性があります。
たとえるなら、HTTPSは、荷物の配送先と配送中の安全性を確認する仕組みに近いです。
しかし、発送元の倉庫で荷物へ入れられた中身が、開発者の用意したものと同じかまでは確認できません。
WEBCATが目指すのは、通信経路に加えて、ブラウザへ届いたプログラムの中身も開発者の公開版と照合する仕組みです。
WEBCATはどのように改ざんを確認する？
WEBCATは「Web-based Code Assurance and Transparency」の略称です。
Webサイトから届いたプログラムが、開発者の公開したものと同じかを確認する仕組みと考えると分かりやすいでしょう。
WEBCATを利用するには、まずWebサイトの運営者が対象のドメインを登録します。
そのうえで、開発者は各バージョンに含まれるプログラムや画像などの情報をまとめた「マニフェスト」を作成し、電子署名を付けて公開します。
ここでいう電子署名は、Webサイトの開発者がマニフェストの発行元を示すためのものです。
利用者がウォレットで取引を承認する「署名」とは、目的が異なります。
利用者が登録済みのWebサイトを開くと、WEBCATは次の流れで検証します。
- Webサイトからプログラムや画像などのファイルを受け取る
- 開発者が署名したマニフェストを確認する
- 配信されたファイルがマニフェストの内容と一致するか照合する
- 登録された正規の署名者による情報かを確認する
- 検証に失敗した場合は、ページの読み込みを止めて警告する
現在公開されているFirefox向けのアルファ版では、不一致が確認されたファイルを実行してから警告するのではなく、読み込みを止める設計です。
これにより、改ざんされた可能性があるプログラムがブラウザ上で動くことを防ぎます。
ただし、WEBCATが自動的にインターネット上のすべてのサイトを確認するわけではありません。
検証の対象になるのは、WEBCATへ登録し、署名済みのマニフェストを公開している対応サイトです。
署名者の登録情報も確認する
マニフェストへ署名した人が、正規の開発者として登録されていなければ、ファイルを正しく検証できません。
そのためWEBCATでは、各サイトで誰が正規の署名者なのか、どのような条件で検証するのかという情報も管理します。
登録情報は、一つの管理会社だけが自由に変更するのではなく、複数の運営者が参加する公開・検証可能な仕組みに記録されます。
ブラウザ拡張機能は登録情報を定期的に取得し、対象サイトを開く際にはブラウザ内で照合します。
これにより、サイトを開くたびに外部の確認会社へ閲覧先を問い合わせず、利用者のブラウザ内で検証することを目指しています。
ただし、現在はアルファ版であり、仕組みの安全性や使いやすさは今後も検証されます。
WEBCATは報道機関向けの技術から生まれた
WEBCATを開発するFreedom of the Press Foundationは、報道機関と情報提供者が安全に連絡するための「SecureDrop」も開発しています。
SecureDropは、内部告発者などが匿名で情報を送るために利用されるオープンソースのシステムです。
Freedom of the Press Foundationは、将来のSecureDropで、利用者のブラウザ内でメッセージを暗号化する仕組みを検討しています。
しかし、暗号化を行うプログラム自体がサーバーから配信される場合、サーバーを侵害した攻撃者が、暗号化前の情報を盗むプログラムへ置き換える可能性があります。
そこで、ブラウザへ届いたプログラムが正規版と一致するかを確認する技術として、WEBCATが開発されました。
この問題は、ブラウザ上で送金や取引への署名を行うWeb3アプリにも共通します。
報道機関と情報提供者を守るために開発された技術を、仮想通貨ウォレットやWeb3アプリの安全性向上にも応用する形です。
イーサリアム財団の助成金は何に使われる？
今回の助成金は、WEBCATをイーサリアムのウォレットやWeb3アプリへ導入しやすくするために使われます。
イーサリアム財団が発表した主な支援対象は、次のとおりです。
- ウォレットへ組み込めるWEBCAT検証ライブラリの開発
- ChromeなどのChromium系ブラウザへ対応するための研究
- WEBCATを導入するウォレットやアプリ開発者への支援
- 独立した第三者によるセキュリティ監査
- ウォレット開発者が共通して利用できるERCとしての標準化
現在、WEBCATを利用するにはFirefox向けの拡張機能を別途導入する必要があります。
将来、ウォレットへ検証ライブラリが組み込まれれば、追加の拡張機能を入れなくても、対応サイトのプログラムを確認できる可能性があります。
ただし、ウォレット側が対応するだけでは機能しません。
Web3アプリ側もドメインを登録し、各バージョンの署名済みマニフェストを公開する必要があります。
そのため、WEBCATが広く使われるには、ウォレットとWeb3アプリの両方による対応が必要です。
現時点で、主要ウォレットへの導入時期や、広く普及する時期は発表されていません。
WEBCATとClear Signingは何が違う？
イーサリアム財団は、WEBCATとは別に「Clear Signing」と呼ばれる取り組みも進めています。
Clear Signingは、ウォレットで署名する取引内容を、人が理解しやすい文章で表示する仕組みです。
両者の役割は、次のように異なります。
| 対策 | 主に確認する内容 |
|---|---|
| WEBCAT | Webサイトから届いたプログラムが、開発者の公開したものと一致するか |
| Clear Signing | ウォレットで承認する取引が、具体的に何を行うのか |
WEBCATは、Web3アプリから届いたプログラムの改ざんを検証します。
Clear Signingは、最終的に利用者が承認する取引内容を分かりやすく表示します。
どちらか一方だけでなく、複数の対策を組み合わせることで、意図しない取引へ署名するリスクを抑える考え方です。
WEBCATですべての被害を防げるわけではない
WEBCATはWeb3アプリの安全性を高める可能性がありますが、万能な対策ではありません。
現在公開されているFirefox向け拡張機能もアルファ版であり、実験的な段階です。
開発元は、現在の拡張機能について、Webページの動作を遅くしたり、一部のサイトへ影響したりする可能性があると説明しています。
一般利用者向けの完成版として、広く導入されている段階ではありません。
また、WEBCATが確認するのは、登録済みサイトから配信されたファイルが、開発者の署名した情報と一致するかどうかです。
次のような問題まで自動的に防げるわけではありません。
- 開発者が公開したプログラム自体に不具合がある
- 公開されたプログラムに悪意のある処理が含まれている
- スマートコントラクトに脆弱性がある
- 利用者がWEBCAT非対応の偽サイトへアクセスする
- 秘密鍵やシードフレーズが流出する
- 利用者が内容を確認せずに危険な取引へ署名する
- ウォレットや利用端末がマルウェアに感染する
- WEBCATへ登録されていないWebサイトを利用する
「開発者の公開したものと一致していること」と「そのプログラムが安全であること」は同じではありません。
WEBCATは配信されたファイルの改ざんを確認する仕組みであり、プログラムの内容をすべて安全審査するものではないためです。
仮想通貨利用者が現在できる対策
WEBCATをウォレットへ組み込む開発は、これから進められる段階です。
現時点では、利用者自身がURLや取引内容を確認することも重要です。
URLの確認を続ける
WEBCATが普及しても、偽サイト対策が不要になるわけではありません。
検索広告やSNSの不審なリンクからアクセスせず、正しいドメインを確認してください。
普段利用するWeb3アプリは、確認済みのページをブックマークしておく方法もあります。
ただし、正しいURLであることだけで、絶対に安全とは判断しないことが大切です。
Webサイトとウォレットの表示を見比べる
Webサイト上の表示だけでなく、ウォレットの確認画面も確認してください。
送金先、数量、利用するネットワーク、支払う手数料、交換する仮想通貨などに違和感がある場合は署名を中止しましょう。
内容を理解できない署名や、意味の分からない権限を求められた場合も、すぐに承認しないことが重要です。
「公式サイトだから大丈夫」と考え、確認せずに署名するのは危険です。
Web3アプリ用のウォレットを分ける
長期保有する資産と、DeFiやNFTなどで利用する資産を別のウォレットへ分ける方法があります。
Web3アプリへ接続するウォレットへ必要以上の資産を入れなければ、問題が起きた場合の影響を抑えられます。
初めて利用するWeb3アプリでは、最初から多額の資産を動かさず、少額で操作や取引内容を確認することも対策になります。
シードフレーズや秘密鍵を入力しない
Webサイトやサポート担当者から、シードフレーズや秘密鍵の入力を求められても渡してはいけません。
シードフレーズは、ウォレット内の資産を管理するための重要な情報です。
正規のWeb3アプリで取引へ署名する場合でも、通常はシードフレーズをWebサイトへ入力する必要はありません。
ウォレットやブラウザを更新する
ウォレット、ブラウザ、OSは、公式の配布元から最新バージョンへ更新しましょう。
古いバージョンには、すでに修正された不具合や脆弱性が残っている可能性があります。
偽の更新通知から不正なソフトウェアを入れられることもあります。
メールや広告のリンクではなく、公式サイトや正規のアプリストアから更新してください。
Web3アプリを使わずに仮想通貨を保有する方法もある
仮想通貨を保有するために、必ず自己管理ウォレットやWeb3アプリを使う必要があるわけではありません。
売買や積立を主な目的とする場合は、国内の暗号資産取引所内で保有する方法もあります。
取引所内で売買や保有を完結させれば、DeFiなどのWeb3アプリへウォレットを接続する機会は減ります。
一方、取引所を利用する場合も、システム障害、サイバー攻撃、入出金停止、事業者に資産管理を任せるリスクなどがあります。
自己管理ウォレットと取引所のどちらが必ず安全というものではありません。
利用目的や管理方法によって、注意すべきリスクが異なります。
国内取引所を選ぶ場合は、取扱銘柄、売買方法、手数料、セキュリティ対策、入出庫条件などを比較しましょう。
SBI VCトレード
SBI VCトレードを利用する場合は、取扱銘柄、売買方法、暗号資産の入出庫条件などを公式サイトで確認しましょう。
Web3アプリへウォレットを接続せず、国内取引所内で売買や保有を行う場合も、サービス内容やリスクを理解したうえで利用することが大切です。
Coincheck
Coincheckを検討する場合は、取扱銘柄、売買方法、送金条件などを公式サイトで確認してください。
取引所内で保有する場合も、二段階認証などのセキュリティ設定を行い、ログイン情報を適切に管理する必要があります。
bitbank
bitbankを検討する場合は、取扱銘柄、取引方法、売買手数料、暗号資産の入出庫条件などを確認しましょう。
Web3アプリを使わずに取引所内で売買する場合でも、価格変動や取引所固有のリスクがなくなるわけではありません。
OKJ
OKJを利用する場合は、取扱銘柄、売買サービス、暗号資産の入出庫に対応するネットワークなどを公式サイトで確認してください。
同じ暗号資産でも、取引所によって利用できるサービスや送金条件が異なる場合があります。
bitFlyer
bitFlyerを検討する場合は、売買方法、取扱銘柄、暗号資産の送付条件などを確認しましょう。
取引所内で保有する場合も、ログイン情報の管理や二段階認証などの基本的な対策が必要です。
※国内取引所を利用しても、価格変動、システム障害、サイバー攻撃、入出金停止などのリスクがなくなるわけではありません。各社の最新情報と利用条件を確認したうえで判断してください。
自分に合う国内仮想通貨取引所を診断
国内取引所は、取扱銘柄、売買方法、手数料、積立や運用サービスなどが異なります。
どの取引所が自分に合うか迷っている場合は、利用目的に合わせて比較することが大切です。
よくある質問
正しい公式サイトを開いても仮想通貨を失う可能性がありますか？
正しいドメインへアクセスしていても、Webサイトのサーバーやプログラムの配信環境が侵害されれば、改ざんされたプログラムが届く可能性があります。
その結果、意図しない取引への署名を求められる場合があります。
ただし、今回の発表は、特定の公式サイトで盗難被害が発生したことを公表するものではありません。
将来の被害を防ぐための検証技術を支援する発表です。
HTTPSなら安全ですか？
HTTPSは、接続先のドメインを確認し、ブラウザとWebサイトの間の通信を暗号化する仕組みです。
通信途中の盗み見や改ざんを防ぐうえで重要です。
一方、Webサイトから配信されたプログラムが、開発者の公開したものと一致することまでは証明しません。
WEBCATは今すぐ利用できますか？
Firefox向けのアルファ版拡張機能は公開されています。
ただし、実験的なソフトウェアであり、Webページの動作を遅くしたり、一部のサイトへ影響したりする可能性があります。
一般利用者向けの完成版として広く提供されている段階ではありません。
WEBCATはすべてのWebサイトを確認できますか？
すべてのWebサイトを自動的に確認するわけではありません。
WEBCATへドメインを登録し、開発者が署名済みのマニフェストを公開しているWebサイトが対象です。
すべてのウォレットへWEBCATが搭載されますか？
現時点では決まっていません。
今回の助成金によって、ウォレット組み込み用ライブラリや共通の標準が開発されますが、実際に導入するかは各ウォレットやWeb3アプリの判断となります。
ハードウェアウォレットなら画面改ざんを防げますか？
ハードウェアウォレットは、秘密鍵をパソコンやスマートフォンから分離して管理できます。
ただし、利用者がハードウェアウォレット上で危険な取引を承認すれば、資産が動く可能性があります。
端末に表示される送金先や数量を確認し、理解できない取引へ署名しないことが重要です。
これはイーサリアム本体の不具合ですか？
イーサリアムのブロックチェーン本体で発生した不具合ではありません。
ブラウザで利用するWeb3アプリの画面や、画面を動かすプログラムに関するセキュリティ上の課題です。
まとめ：正しいURLに加えて取引内容の確認も必要
イーサリアム財団は2026年8月5日、Freedom of the Press Foundationが開発するWEBCATへの助成を発表しました。
WEBCATは、登録済みWebサイトからブラウザへ配信されたプログラムが、開発者の署名した情報と一致するかを検証する仕組みです。
HTTPSは、接続先の確認や通信の暗号化を行います。
しかし、Webサイトから届いたプログラムが、開発者の公開したものと一致するかまでは証明しません。
Web3アプリのプログラムが改ざんされると、送金先を変更されたり、利用者の意図とは異なる取引への署名を求められたりする可能性があります。
そのため、URLだけでなく、ウォレットへ表示された取引内容も確認する必要があります。
今回の助成金は、ウォレットへ組み込める検証ライブラリ、Chromium系ブラウザへの対応研究、第三者監査、ERCとしての標準化などに使われます。
将来は、対応ウォレットがWeb3アプリから届いたプログラムを検証し、不一致の場合に警告する仕組みが広がる可能性があります。
ただし、現在のWEBCATはFirefox向けのアルファ版です。
また、開発者の公開したものとの一致を確認できても、スマートコントラクトの不具合、秘密鍵の流出、偽サイト、危険な取引への署名など、すべての被害を防げるわけではありません。
今回の発表で重要なのは、「正しいURLを開けば安全」という確認だけでは不十分になる可能性があることです。Web3では、接続先に加えて、Webサイトが作った取引と、ウォレットで実際に承認する内容まで確認することが大切です。
出典・参考
- Ethereum Foundation：Announcing a Trillion Dollar Security grant for WEBCAT
- Ethereum Foundation：Announcing the Trillion Dollar Security Initiative
- Ethereum Foundation：Clear Signing: Making Transaction Approvals Safer on Ethereum
- Freedom of the Press Foundation：Help SecureDrop test WEBCAT Alpha
- WEBCAT：公式サイト
- WEBCAT Documentation：Concepts
- WEBCAT Documentation：FAQ
- WEBCAT Documentation：For Users
- GitHub：Freedom of the Press Foundation／WEBCAT
※本記事は、特定の暗号資産、ウォレット、Web3アプリ、金融商品の利用や購入を推奨するものではありません。
※暗号資産やWeb3サービスには、価格変動、秘密鍵の流出、フィッシング、フロントエンドの改ざん、スマートコントラクトの不具合、誤送金、署名内容の誤認、取引所やウォレットの障害などのリスクがあります。利用する場合は公式情報を確認し、自身の判断で行ってください。
