ガイド . セキュリティ
仮想通貨詐欺を見抜く方法と身を守る方法
仮想通貨の多くは、パスワードを忘れて失われてしまいますが、単に盗まれるケースも少なくありません。ここでは、よく見られる詐欺の手口と、それを防ぐための習慣をご紹介します。
当社のような資産回収会社には、仮想通貨に関わる人生で最悪の一日を迎えた方々が相談に訪れますが、その痛ましい事例の多くは、単にパスワードを忘れたというものではなく、本来なら防げたはずの盗難被害なのです。このガイドでは、実際に手口として通用している詐欺の手口と、それらを未然に防ぐための簡単な対策について解説します。
フィッシングおよびなりすましサイト
The classic attack is a fake site that looks like the real one. Scammers register domains with swapped or accented characters — a Cyrillic letter that looks like a Latin one, or an extra character you won’t notice in a hurry — so binance.com reads as “binance.com” at a glance. Rules that defeat it: never click links in emails, DMs or ads to reach a crypto site; type the address yourself or use a saved bookmark; and check the full URL and the SSL certificate before entering anything, any that looks strange just leave the page immediately.
偽の復旧サービス
これは私にとって特に身にしみる問題です。なぜなら、詐欺師たちが当社のような企業を装っているからです。その手口は決まっています。彼らが先に連絡してきて（Telegram、X、Facebook、Quora、Instagramなどで）、復旧を保証し、前払いを要求したり、サイトやフォームにシードフレーズや秘密鍵を入力するよう求めたりします。本物の復旧サービスがこのようなことをすることは決してありません。 当社は決して先にメッセージを送ったり、前払いを要求したり、シードフレーズ全体を尋ねたり、「復旧ソフトウェア」を販売したりすることはありません。もし当社の名前を名乗る者がこうした行為を行っているなら、それはなりすまし犯です。彼らの目的は、あなたが救おうとしているウォレットから資金を搾り取ることに他なりません。
SIMカードの不正交換と2段階認証をめぐる誤解
SMSによる二要素認証は安全に思えますが、実はそうではありません。攻撃者は、SIMカードを複製したり、ソーシャルエンジニアリングを駆使して（場合によっては通信事業者を騙して交換用SIMカードを発行させたりして）、「あなたの」番号に送信された認証コードを傍受します。会議が集中する時期には、この手口が既知のSIMカード所有者を直接標的にするために利用されてきました。身を守るためには、通信事業者に番号ポータビリティ用のPINまたはパスワードを設定し、サービスで対応している場合は、SMSの代わりに認証アプリやハードウェアセキュリティキーを使用してください。
パスワードの流用と認証情報の漏洩
利用しているサイトが何らかの形で侵害された場合（実際にそのような事態は起こります）、攻撃者が真っ先に試みるのは、その認証情報を他のあらゆる場所で使い回すことです。もしExchangeのログイン情報が、メールアカウントやソーシャルメディアアカウントのログイン情報と一致している場合、1か所で情報が漏洩しただけで、それらすべてが危険にさらされます。重要なサービス間でログイン情報やパスワードを再利用してはいけません。Exchange、それに紐付いたメールアカウント、そしてソーシャルメディアアカウントには、それぞれ固有の強力なパスワードを設定してください。理想的には、パスワードマネージャーを利用して設定することをお勧めします。
DNSおよびネットワーク攻撃
正しく入力したアドレスであっても、必ずしも安全とは限りません。2018年に起きた有名な事件では、攻撃者がBGP/DNSハイジャックを利用して、人気のあるウォレットサイトのトラフィックを自身のサーバーにリダイレクトしました。証明書の警告を無視してログインしたユーザーは、自分の鍵を直接詐欺師に送ってしまい、多額の資産を失いました。対策は退屈ですが、極めて重要です。仮想通貨サイトでのSSL/TLS証明書の警告は、決して無視してはいけません。 ブラウザに「証明書が無効である」または「発行元が不明である」と表示された場合は、そこで停止してください。その警告は、システムが正常に機能している証拠なのです。
送信する際は、すべてを確認してください
損失の原因として、アドレスをすり替えるマルウェアや単なる不注意によるものが数多くあります。クリップボードハイジャッカーが宛先アドレスを類似のものに置き換えてしまう可能性があるため、宛先アドレスの先頭や末尾の数文字だけでなく、必ずアドレス全体を確認してください。新しいアドレスやネットワークを使用する場合は、まず少額のテスト送金を行ってください。また、同じアドレスが複数のネットワーク上に存在する場合があるため、送金前に正しいチェーン上にあることを確認してください。
旅行中やイベント参加時の特別な注意
暗号資産関連のカンファレンスや公共の場は、狙われやすい場所です。著名な保有者はイベント会場で物理的に監視されたり、ソーシャルエンジニアリングの標的になったりしており、公共のWi-Fiは簡単に盗聴されてしまいます。 外出中は、暗号資産に関わるあらゆるデバイスを標的と見なしてください。公共のネットワーク上で取引所やウォレットにログインするのは避け、異常に興味を示している見知らぬ人と保有資産について話し合わず、会話がすぐにウォレットの話に持ち込まれるような「親切な」新しい知り合いには警戒してください。バーで最も親しみやすい人が、時に最も危険な人物であることもあります。
手短な安全チェックリスト
実際に守れる習慣に絞り込みましょう：仮想通貨サイトには、リンクではなく、アドレスを直接入力するかブックマークを使ってのみアクセスすること。認証アプリやハードウェアキーを使用し、SMSは絶対に使用せず、キャリアのポートアウトPINを設定すること。取引所、そのメールアドレス、ソーシャルメディアには、それぞれ固有の強力なパスワードを設定すること。証明書の警告を無視しないこと； 受取アドレスを完全に確認し、まずは少額のテスト送金を行うこと。そして、いかなる状況においても、ウェブサイトにシードフレーズを入力したり、自分から連絡してきた相手にそれを教えたりしてはいけません。これらを実践すれば、仮想通貨盗難の圧倒的多数を防ぐことができます。
よくある質問
ハードウェアウォレットは、こうした詐欺から安全なのでしょうか？
鍵がデバイスから外に出ることは一切ないため、はるかに安全です。ただし、フィッシング攻撃に遭い、悪意のある取引を承認させられたり、シードを明かさせられたりする可能性は依然としてあります。必ず公式の販売元からのみ購入し、いかなる場所でもシードを入力してはいけません。
復旧サービスが詐欺かどうか、どうすれば見分けられますか？
注意すべき点：相手から先に連絡してくる、復旧を保証する、前払いを要求する、あるいはシードフレーズや秘密鍵を尋ねてくる場合です。正規のサービスでは、このようなことは決してありません。正規のサービスは成功報酬制を採用しており、シードフレーズ全体を要求することは決してありません。
暗号資産の取引において、SMSによる2段階認証は安全ですか？
そうでもありません。SIMスワップにより、攻撃者はSMSの認証コードを傍受できてしまいます。認証アプリやハードウェアセキュリティキーを使用し、携帯キャリアに「番号移行用PIN」を設定しておきましょう。
Telegramで、KeychainXの関係者だと名乗る人がいますが、本当でしょうか？
いいえ。当社は、Telegram、X、Facebook、その他のいかなるプラットフォームにおいても、決して相手から連絡することはありません。また、認証情報や前払いを要求することも決してありません。そのような行為を行う者は、当社を装った者です。
詐欺に遭わないために、最も効果的な習慣は何でしょうか？
仮想通貨サイトへのリンクは絶対にクリックしないでください。アドレスを直接入力するか、ブックマークを使用してください。また、いかなるウェブサイトやフォームにもシードフレーズを入力してはいけません。
証明書の警告を無視した結果、資金を失ってしまいました。何か助言をいただけますか？
鍵がフィッシング被害に遭った場合、資金は一度移動されると通常は取り戻せなくなります。回復サービスは、自身のウォレットへのアクセスを失った場合の対応を支援するものであり、すでに自分の管理下から離れてしまった盗難の被害には対応しません。
詐欺に遭っているかどうか分からない？
ご自身のウォレットへのアクセス権を失ってしまった場合（詐欺師によるものではない場合）、当社はその回復をお手伝いします。成功報酬制で、前払いは一切不要です。お気軽にお問い合わせください。正直にお答えいたします。