WordPressプラグインのセキュリティ侵害：ハッカーが30のプラグインを購入し、8か月間潜伏、ドメインブロックを回避するためにEthereumのスマートコントラクトを使用
WordPressプラグインのセキュリティが注目されています。報告によればハッカーがWordPressプラグインのポートフォリオを買収し、30以上のプラグインにバックドアを埋め込んだとされます。攻撃者はペイロードを約8か月間隠しており、最初の悪意ある更新は2025-08-08に投稿され（変更履歴には「compatibility update」とのみ記載）、長期間見逃されていました。
バックドアコードは2026年4月初めの段階的な有効化ウィンドウの後にwp-config.phpへ注入されました（最初のコールバックは2026-04-05/06頃、wp-config.phpの完全な書き換えは2026-04-06 11:06 UTC）。その後、Googlebotをターゲットにしたスパムリンクを実行し、未保護のREST APIパスを露出させ遠隔でのコード実行を可能にする恐れがありました。
特に注目すべきは、WordPressプラグイン防御に対するC2（コマンド＆コントロール）インフラが従来の遮断を回避した点です。固定ドメインに依存するのではなく、攻撃者はC2の解決ロジックをEthereumスマートコントラクトに埋め込み、パブリックRPCノード経由で更新されたポインタを問い合わせていました。これにより、DNSブラックリストやドメイン差し止めが、スマートコントラクト自体が変更されるまで有効でなくなる可能性があります。
対応として、WordPress.orgは影響を受けたEssential Pluginの作者アカウントを停止し、30以上のプラグインを一斉に無効化したと報告されています（2026-04-07）。この対応はセキュリティ研究者Austin Ginderによって確認されました。
ゼロデイの主張はないものの、強調される主要な問題はサプライチェーンへの信頼です。WordPressのエコシステムでは、所有権が変更されても買い手がプラグインの更新権限を引き継げてしまい、十分なレビューやユーザーへの通知が行われないことが問題点として浮かび上がっています。
Neutral
本件は本質的にWeb側のサプライチェーン攻撃と悪意あるインフラとの対立であり、暗号資産のキャッシュフローやプロトコル層の変更に直接関与していません（オンチェーンマイニング、トークン経済、取引所の重大障害の言及はなし）。したがって市場の取引センチメントに対する直接的な牽引力は限定的であり、関連業界・サービス（ウェブサイトエコシステム、ホスティング、セキュリティベンダー）での短期的な“サイバーセキュリティリスクプレミアム”の変動として現れる可能性が高いです。
短期的には：トレーダーがこれを過去の「サプライチェーン毒入れ／プラグインのバックドア」事件（例：ソフトウェア更新の悪用）になぞらえると、Web3関連サイトやデータサービス、マーケティング流入型トラフィックへの信頼が低下し、セキュリティをテーマとした注目がわずかに高まることがありますが、BTC/ETHのマクロな動向に体系的に影響を与える可能性は低いです。
長期的には：報告はEthereumのスマートコントラクトを用いたC2の動的解析という発想を強調しており、セキュリティコミュニティやコンプライアンス／インフラ運用者が「オンチェーンで更新可能なコマンドドメイン」の脅威モデルに注目するきっかけになる可能性があります。暗号市場への長期的影響はより中立的で、セキュリティや規制に関する議論は活性化しますが、主流資産の需給ファンダメンタルズを変えるものではありません。
結論：価格への影響は方向性のある強いブル・ベアの触媒というより、周辺的・テーマ的・センチメント的なものになりやすいです。