暗号資産フィッシング：偽サイトを見分ける方法

偽の暗号資産サイトは、本物の取引所、ウォレット、トークン請求ページをコピーし、よく似たドメインを使います。ログイン、ソフトウェアのダウンロード、ウォレット接続、署名の前に、独立した公式情報源から完全なドメインを確認してください。鍵マークがあるだけでは正規サイトの証明になりません。

偽ページが何を狙っているか理解する#

暗号資産のフィッシングページは、目的に応じて作られます。取引所の認証情報やワンタイムコードを盗むもの、「同期」を口実にシードフレーズを求めるものがあります。Web3ドレイナーは通常どおり接続させた後、資産移動を許可する承認や署名を表示することがあります。

ページの見た目が良いことは、ほとんど証拠になりません。攻撃者はロゴ、文章、デザインシステム、ヘルプセンターの記事までコピーできます。信頼できる判断材料は、ドメイン、ソフトウェアの発行元、取引ペイロード、ページへ到達した経路です。

ホスト名を右から左へ読む#

support.example.comでは、登録可能なドメインはexample.comであり、「support」はサブドメインです。example.com.security-check.netを管理しているのはexample.comではなくsecurity-check.netです。

次の点に注意してください。

• 綴り間違い、似た文字への置換、余分な単語。
• 見慣れない国別または汎用トップレベルドメイン。
• 無関係なサイトのサブドメインに置かれたブランド名。
• 送信先を隠す短縮URL。
• 本物の検索結果より上に表示される検索広告。
• ラテン文字に似た国際化ドメインの文字。

HTTPSが示すのは、そのドメインとの通信が暗号化されていることだけです。詐欺師も自分の偽ドメインに有効なTLS証明書を取得できます。証明書警告は重大ですが、警告がないことはサイトの正当性を保証しません。

公式サイトは独立した経路で確認する#

リンクが届いた同じメッセージ内の情報だけで、そのリンクを検証しないでください。保存済みブックマーク、以前確認したアドレスの直接入力、公式モバイルアプリ、複数の確立されたプロジェクト窓口を使います。

取引所に関するセキュリティ警告なら、取引所を別経路で開き、アカウント内のお知らせを確認してください。FBIは、緊急の取引所を名乗る電話やメッセージを受けた場合、連絡を終了し、送信者のリンクではなく公式の電話番号やWebサイトから会社へ連絡するよう勧告しています。

あり得ない秘密情報を求められたら中止する#

通常の分散型アプリケーションが、シードフレーズや生の秘密鍵を必要とすることはありません。これらはウォレットの復元や支配に使う情報であり、接続用の認証情報ではありません。

次の要求も高リスクです。

• 「サポート」のために遠隔操作ソフトをインストールする。
• ウイルス対策やブラウザの警告を無効にする。
• ファイル共有サービスから未署名のウォレット更新をダウンロードする。
• MFAコードを繰り返し入力する。
• アカウント保護のために「確認送金」を行う。
• 停止を避けるため、読めないメッセージへ直ちに署名する。

緊急性は攻撃の一部です。正規のセキュリティ手続きなら、独立して確認する時間を取っても成立するはずです。

Webサイトとウォレットの要求を分けて確認する#

正規ドメインが侵害されることも、偽画面が技術的には有効な取引を送ることもあります。署名前にウォレットの確認画面を読み、チェーン、コントラクト、資産、金額、権限を特定してください。

予期しないApprove、Permit、SetApprovalForAll、所有権変更、広範な署名要求は拒否します。未知のサイトには残高を抑えた操作専用ウォレットを使ってください。残高を見るだけなら、ウォレット接続が不要なブロックエクスプローラーを選びます。

フィッシングが疑われるページを開いた後の対応#

通常、ページを表示しただけで資産は移動しません。ただし、ダウンロード、認証情報の入力、署名、承認では、それぞれ異なる危険が発生します。

1. ページを閉じ、不審なリンクから戻らない。
2. 認証情報を入力した場合、復旧用メールを保護し、公式サイトからパスワードを変更してセッションを無効化する。
3. MFAコードを入力した場合、セッションが侵害された可能性を前提に公式サポートへ連絡する。
4. ウォレットで承認に署名した場合、アローワンスを確認して取り消す。
5. シードフレーズを入力した場合、新しいフレーズでウォレットを作り、残っている資産を移す。
6. 報告のためURL、メッセージ、トランザクションハッシュ、受取アドレスを保存する。

よくある質問#

HTTPSなら暗号資産サイトは安全ですか？

いいえ。HTTPSは、アドレスバーに表示されたドメインまでの通信を保護するだけです。そのドメインが本物の会社のものだとは証明しません。

接続しただけでウォレットから資産を抜かれますか？

接続では通常、公開アドレスが相手に見えます。損失には一般に署名、承認、鍵の漏えい、ウォレットやソフトウェアの脆弱性が関係します。それでも不審なサイトなら接続を解除し、権限を確認してください。

検索結果の一番上は必ず公式ですか？

いいえ。広告、順位操作、コピーされた説明文によって偽ページが目立つ位置に表示されます。ホスト名を独立して確認してください。

ドメイン年齢チェッカーを使うべきですか？

判断材料の1つにはなりますが、古いドメインが侵害されることも、新しい正規プロジェクトが最近取得したドメインを使うこともあります。直接確認と取引内容の点検より年齢を優先しないでください。

情報源#

• CISA: Phishing Guidance
• FBI IC3: Scammers Impersonating Cryptocurrency Exchanges
• Ethereum.org: Security and Scam Prevention
• Trezor: Common Scams and Phishing

リスクに関する注意： ドメイン確認はリスクを下げますが、Webサイト、フロントエンド、スマートコントラクトの安全性を証明するものではありません。到達経路と要求される権限の両方を確認してください。