暗号資産のフィッシングサイト：偽の取引所・ウォレットページの見分け方
暗号資産のフィッシングサイトは、本物の取引所やウォレットを模倣してログイン情報や復元フレーズを盗みます。危険信号、被害者への到達経路、そして身を守る方法を解説します。
暗号資産のフィッシングサイトとは、本物の取引所、ウォレット、DeFiアプリを模倣し、ログイン情報、二要素認証コード、復元フレーズ、ウォレットの署名を盗む偽のWebページです。多くの場合、本物のドメインとわずかに異なるアドレス、たどり着いた経路（広告、メール、ダイレクトメッセージ）、そして復元フレーズをWebフォームに入力させるといった、正規のサービスなら決してしない要求によって見分けることができます。
フィッシングは暗号資産を失う最も一般的な原因の一つで、経験豊富なユーザーでも被害に遭います。銀行とは違い、ブロックチェーンは一度承認された送金を取り消すことができないため、予防こそが唯一の確実な防御策です。
暗号資産フィッシングサイトの仕組み
フィッシングサイトが狙う秘密情報は2種類あります。
- 1中央集権型取引所のアカウント認証情報：メールアドレス、パスワード、二要素認証コード。攻撃者はそれらをリアルタイムで本物の取引所に中継してログインし、資金を引き出します。
- 2セルフカストディ型ウォレットへのアクセス：復元フレーズそのもの、またはトークンを移動する許可を攻撃者に与える署名です。こうしたサイトはDEX、NFTのミント、エアドロップの請求、「ウォレット認証」ページなどを装い、ウォレットドレイナーのスクリプトを実行します。
ページ自体は本物のサイトのコードをコピーしたものであることが多く、デザイン、ロゴ、文章はまったく同じに見えます。あわせて読みたい：モバイルウォレットのセキュリティのベストプラクティス。
被害者が偽サイトにたどり着く経路
- 検索広告。 詐欺師は人気の検索キーワードに広告を出稿します。広告は本物の検索結果より上に表示され、よく似たドメインにリンクしています。
- メール。 偽のセキュリティ警告（「不審なログインを検知しました」「アカウントを確認してください」）に、偽のログインページへのリンクが含まれています。
- SNSでの返信。 ボットが公式投稿に返信し、偽のエアドロップやサポートページへのリンクを貼ります。
- ダイレクトメッセージ。 Discord、Telegram、Xで偽のサポート担当者や「管理者」がリンクを送ってきます。
- 乗っ取られたアカウント。 本物のプロジェクトのSNSアカウントやDiscordがハッキングされ、フィッシングリンクが投稿されます。
- SEOとタイポスクワッティング。 1文字だけ異なる、別のドメイン拡張子を使う、あるいは「app」「claim」「support」などの単語を加えたドメインです。
偽の取引所・ウォレットページの危険信号
| 危険信号 | 具体例 |
|---|---|
| よく似たドメイン | 文字の入れ替え、余分なハイフン、見慣れない拡張子、まったく同じに見える他の文字体系の文字 |
| 復元フレーズの要求 | 「確認」「同期」「復元」のために12語または24語の入力を求めるフォーム |
| 緊急性の演出 | カウントダウンタイマー、「アカウントが停止されます」、「期限切れになる前に請求してください」 |
| 予期しない署名 | 自分で開始していないトークンの承認やメッセージへの署名を求めるウォレットの確認画面 |
| メッセージや広告経由の訪問 | 自分からアクセスしたのではなく、リンクのほうがやって来た |
| 細かな見た目の誤り | 古いロゴ、フッターのリンク切れ、不自然な文法 |
| うますぎる話 | 無料のトークン、入金額を倍にするキャンペーン、限定プレセール |
鍵のアイコンや「https」は、サイトが安全であることを意味しません。フィッシングサイトは日常的に有効な証明書を使っています。この点についてはクリップボードマルウェアで詳しく解説しています。
ログインや接続の前にサイトを確認する方法
- 1ドメインを直接入力するか、ブックマークを使う。 利用しているすべての取引所、ウォレット、DeFiアプリをブックマークし、それだけを使いましょう。
- 2アドレスバーのドメイン全体を読む。 拡張子の直前の部分を見てください。それが本当のサイト名です。
exchange.com.secure-login.ioはexchange.comではなくsecure-login.ioのものです。 - 3公式URLを照合する。 信頼できるデータサイトに掲載されているプロジェクトの認証済みプロフィールと比較しましょう。手順はWebサイトがプロジェクトの公式サイトかどうかを確認する方法のガイドで説明しています。
- 4ウォレットの確認画面をすべて読む。 署名する前に、どのコントラクトとやり取りしているのか、どんな権限を与えようとしているのかを確認しましょう。
- 5パソコンでもスマートフォンでも、Webサイトに復元フレーズを入力しない。 求めてくるサイトがあれば、タブを閉じましょう。
フィッシングを防ぐ習慣
- パスワードマネージャーを使いましょう。保存した正確なドメインでのみ認証情報を入力するため、よく似たサイトでは自動入力されず、それが便利な警告になります。
- 二要素認証にはSMSではなく、ハードウェアセキュリティキーまたは認証アプリを使いましょう。暗号資産アカウントの二要素認証を参照してください。
- 対応している取引所では、出金先アドレスのホワイトリストを有効にしましょう。
- 試用のためのウォレットを別に用意し、長期保有の資金は新しいサイトに一切接続しないウォレットで保管しましょう。
- アカウントに関する一方的なメッセージは、公式に見えてもすべて疑ってかかりましょう。
- トークンの承認を定期的に確認し、取り消しましょう。
フィッシングに遭ったかもしれないと思ったら
スピードが重要です。
- 1取引所のログイン情報を入力した場合： 本物のサイトからパスワードと二要素認証の設定を変更し、新しい出金先アドレスやAPIキーが追加されていないか確認し、公式サイトからサポートに連絡しましょう。
- 2復元フレーズを入力した場合： そのウォレットは失われたものと考えてください。クリーンなデバイスで新しい復元フレーズを使って作成した新しいウォレットに、残っている資金を移しましょう。
- 3悪意ある署名や承認をした場合： すぐに承認を取り消し、残りの資産を移しましょう。
- 4報告する： なりすまされた企業、ブラウザのフィッシング報告サービス、そして当サイトの詐欺報告フォームにドメインを報告しましょう。
その後に連絡してくる「資金回収サービス」には注意してください。ほぼ間違いなく二次詐欺です。この点については記事ウォレットのファームウェアアップデートで詳しく取り上げています。
まとめ
フィッシングサイトが成功するのは、本物そっくりに見え、あなたが急いでいるタイミングで現れるからです。ブックマークを唯一の入り口にし、ドメインを注意深く読み、Webサイトに復元フレーズを決して入力せず、予期しない署名リクエストはすべて脅威として扱いましょう。こうした習慣によって、フィッシングの試みの大多数を始まる前に防ぐことができます。その他の対策については、セキュリティ関連の記事をご覧ください。
よくある質問
暗号資産のフィッシングサイトとは何ですか？
暗号資産のフィッシングサイトとは、本物の取引所、ウォレット、DeFiアプリを模倣した偽のWebサイトで、ログイン情報、二要素認証コード、復元フレーズ、またはウォレットの署名を盗むことを目的としています。本物のサイトとほぼ見分けがつかないことが多く、1〜2文字だけ異なるドメイン名を使っています。
暗号資産のWebサイトが偽物かどうかはどうすればわかりますか？
アドレスバーのドメインを1文字ずつ正確に確認してください。広告、メール、ダイレクトメッセージ経由でサイトにたどり着いた場合、復元フレーズを求められた場合、急がせるようなプレッシャーをかけてくる場合、予期しないトランザクションへの署名を求められた場合は疑ってください。公式サイトをブックマークし、そのブックマークだけを使いましょう。
本物のウォレットがWebサイト上で復元フレーズを求めることはありますか？
ありません。正規のウォレット事業者や取引所が、Webサイト、フォーム、サポートとのチャットで復元フレーズの入力を求めることは決してありません。復元フレーズを入力するのは、ウォレットアプリやハードウェアデバイスそのものの中でウォレットを復元するときだけです。
フィッシングサイトに情報を入力してしまったらどうすればよいですか？
すぐに行動してください。取引所のログイン情報を入力した場合は、パスワードを変更し、二要素認証をリセットし、公式サイトから取引所に連絡してください。復元フレーズを入力した、または悪意あるトランザクションに署名した場合は、残っている資金をすべてまったく新しいウォレットに移し、承認を取り消してください。