アドレスポイズニング：ウォレットを空にするコピペの罠

アドレスポイズニング（address poisoning）とは、攻撃者があなたの取引履歴にそっくりなウォレットアドレスを紛れ込ませる詐欺です。通常はごく少額または偽の送金を送りつけ、あなたが後で本物の代わりにそのアドレスをコピーし、攻撃者へ資金を送ることを狙います。ウォレットがハッキングされるわけではありません。直近の履歴からアドレスをコピーし、先頭と末尾の数文字しか確認しないという習慣を悪用するのです。

この攻撃は、USDTやUSDCなどのステーブルコインが頻繁に送金されるネットワークで多発しています。同じアドレス間で繰り返される大口送金は、公開ブロックチェーン上で簡単に見つけられるからです。被害者は信頼しているアドレスへまとまった金額を送ることが多いため、損失が大きくなることがあります。幸い、いくつかのシンプルな習慣でほぼ完全に防げます。

アドレスポイズニング攻撃の仕組み

攻撃はたいてい同じパターンをたどります。

1. 1監視。 攻撃者はブロックチェーンを監視し、定期的に送金しているウォレットを探します。たとえば個人のウォレットから取引所の入金アドレスへの送金です。
2. 2そっくりなアドレスの生成。 攻撃者はアドレス生成ソフトウェアを使い、あなたがいつも使う送金先と先頭・末尾の文字が一致するアドレスを作ります。ウォレットアドレスは長く、多くのウォレットは 0x1a2b...9f8e のように省略表示するため、この手口では表示されている文字だけが重要になります。
3. 3履歴の汚染。 攻撃者は、そっくりなアドレスがあなたのアクティビティに表示されるようなトランザクションを送ります。価値ゼロのトークン送金、本物のトークンのごく少額、あるいは本物のステーブルコインの名前をまねた偽トークンの送金などです。
4. 4待機。 次にあなたが送金するとき、履歴を開き、いつものアドレスに見えるものをコピーして送金します。お金は攻撃者の手に渡ります。

偽のエントリーは自分自身の履歴の中、しかも本物の送金のすぐ隣に表示されることが多いため、信頼できるように感じてしまいます。詳しくは豚の屠殺詐欺（pig butchering）をご覧ください。

この手口がこれほど効果的な理由

日常的ないくつかの習慣が、人を無防備にします。

• 省略表示されたアドレス。 ウォレットやブロックエクスプローラーは、アドレスの先頭と末尾だけを表示することがよくあります。
• 履歴からのコピー。 元の情報源から探すより、「前回使ったアドレス」をコピーするほうが手軽です。
• 本物の名前を持つ偽トークン。 「USDT」という名前のトークンの送金は、コントラクトが偽物でも普通に見えます。
• 慣れ。 毎週同じ送金を繰り返していると、注意深く確認しなくなりがちです。

省略表示では、この2つはまったく同じです。違いは全体を比較して初めてわかります。この点についてはクリップボードマルウェアの記事で詳しく解説しています。

身を守る方法

次の習慣で、アドレスポイズニングはほぼ完全に防げます。

1. 1取引履歴からアドレスをコピーしない。 履歴は記録であって、アドレス帳ではありません。
2. 2保存済みのアドレス帳やホワイトリストを使う。 検証済みのアドレスを一度保存し、わかりやすいラベルを付け、保存済みの宛先にだけ送金します。多くの取引所は出金アドレスのホワイトリスト機能も提供しています。
3. 3アドレスは情報源から取得する。 取引所へ入金する場合は、毎回取引所の入金ページからアドレスを新たにコピーし、ネットワークも確認します。
4. 4アドレス全体を確認する。 先頭と末尾の文字だけでなく、できれば中ほどの複数の区間も比較します。
5. 5テスト送金をする。 大きな送金の前には、まず少額を送って着金を確認しましょう。詳しくは暗号資産を失わずに送金する方法のガイドをご覧ください。
6. 6スパムトークンを非表示にする。 見覚えのないトークンにはウォレットのスパム機能や非表示機能を使い、画面が散らからないようにします。
7. 7ハードウェアウォレットの画面で確認する。 使用している場合は、承認する前にデバイスの画面に表示された送金先を読んで確認します。

ポイズニングの試みを見分ける方法

アクティビティに次の兆候がないか確認しましょう。

• 見覚えのないアドレスからの、価値ゼロまたはごく少額の着金。
• 購入した覚えのない、聞き覚えのある名前のトークン。特にステーブルコインの偽物。
• いつもの連絡先の1つに似ているが、そのアドレスと取引した直後に現れた履歴上のアドレス。

ブロックエクスプローラーでは、偽トークンは非公式のコントラクトにつながっていることがよくあります。トークンが本物かどうかは、そのコントラクトを公式アドレスと比較することで確認できます。詳しくはトークンのコントラクトアドレスを確認する方法のガイドで解説しています。

ポイズニングされたアドレスに送金してしまったら

ブロックチェーンの送金は取り消せませんが、それでも取る価値のある手順があります。

• トランザクションハッシュ、アドレス、時刻を記録する。
• 資金が取引所やステーブルコイン発行体を経由した場合は、すぐに連絡する。発行体によっては、特定の場合にトークンを凍結できることがあります。
• 地元の警察と自国の詐欺通報窓口に届け出るとともに、ほかの人に注意を呼びかけられるよう詐欺アドレスを当サイトに報告してください。
• 手数料と引き換えに確実な回収を持ちかけてくる人は無視してください。こうした「回収サービス」は、二次詐欺であることがよくあります。

詳しくはコピートレード詐欺をご覧ください。

この点は偽の暗号資産求人のコーディングテストに潜むマルウェアでさらに詳しく取り上げています。

関連記事：偽のWalletConnectやウォレットのポップアップによるフィッシング。

まとめ

アドレスポイズニングはウォレットのセキュリティを破るのではなく、便利な習慣を逆手に取ります。履歴からアドレスをコピーするのをやめ、ラベル付きのアドレス帳やホワイトリストを使い、アドレス全体を比較し、大きな送金の前にはテスト送金をしましょう。そのわずか数秒の確認が、いつもの支払いと取り返しのつかない損失との分かれ目になります。ほかの対策については、セキュリティガイドをご覧ください。