偽のブリッジサイト：資産を抜き取られずにブリッジする方法
偽のブリッジサイトは本物のクロスチェーンブリッジをコピーしてウォレットを空にします。詐欺の仕組み、危険信号、そして安全にブリッジするための手順を解説します。
偽のブリッジサイトとは、本物のクロスチェーンブリッジにそっくりなコピーで、資金を攻撃者に渡してしまうトランザクションやトークン承認に署名させるものです。資産を抜き取られずにブリッジするには、確認済みのブックマークか公式ドキュメント経由でのみブリッジにアクセスし、ドメインとコントラクトアドレスを確認し、署名前にウォレットのリクエストをすべて読み、まずは少額でテストしましょう。
ブリッジは、たとえばEthereumからレイヤー2ネットワークへといった具合に、あるブロックチェーンから別のブロックチェーンへトークンを移動させます。ユーザーは新しいネットワーク、エアドロップ、取引を追いかけて急いでいるときにブリッジを使うことが多いため、ブリッジのインターフェースはフィッシングの格好の標的になっています。このガイドでは、詐欺の仕組みとそれを防ぐための手順を解説します。
偽のブリッジ攻撃の仕組み
偽のブリッジ詐欺のほとんどは、同じ手順をたどります。
- 1コピー。 攻撃者は人気のブリッジのフロントエンドを複製し、1文字、ハイフン、または末尾のドメインだけが異なるドメインで公開します。
- 2おとり。 有料の検索広告、本物のプロジェクトの投稿へのリプライ、偽の「サポート」アカウント、あるいは新しいネットワークやエアドロップにブリッジが必要だという告知を通じてリンクを宣伝します。
- 3接続。 あなたがウォレットを接続します。サイトは残高を読み取るため、どのトークンを狙う価値があるかを把握します。
- 4リクエスト。 あなたが「ブリッジ」をクリックします。サイトは本物のブリッジコントラクトを呼び出す代わりに、攻撃者のコントラクトに対するトークン承認、オフチェーンのpermitへの署名、または攻撃者のアドレスへの直接送金を求めます。
- 5抜き取り。 承認されると、攻撃者のコントラクトがトークンを引き出します。サイトは時間稼ぎのために、偽の「ブリッジ処理中」メッセージを表示することがよくあります。
インターフェースはまったく同じに見えるため、ドメインとウォレットのリクエストだけが信頼できる手がかりです。署名のトリックについては、ウォレットドレイナーとpermit署名を使ったフィッシングのガイドで詳しく解説しています。
仮想の事例
以下は説明のために構成した架空の事例であり、実際のケースではありません。噂されているエアドロップの対象になるため、ステーブルコインをEthereumから新しいレイヤー2ネットワークに移したいユーザーを想像してください。そのユーザーはネットワークのブリッジを検索し、最初の結果（有料広告）をクリックして、公式ブリッジとまったく同じ見た目のサイトにたどり着きます。
ユーザーはウォレットを接続し、金額を入力します。ウォレットには、見たこともないコントラクトがステーブルコインに「無制限」にアクセスすることを求める承認リクエストが表示されます。ブリッジではよくあることだと思い、承認してしまいます。1分もしないうちにステーブルコインの残高がすべて送金され、サイトには「承認待ち」と表示され続けます。ブリッジが一度も行われていなかったと気づいたときには、資金はすでにスワップされ、複数のアドレスを経由して移動していました。
損失の原因は3つの近道でした。検索広告を使ったこと、ドメインの確認を省いたこと、そして見知らぬコントラクトに無制限の許可を与えたことです。
危険信号チェックリスト
| 危険信号 | 考えられる意味 |
|---|---|
| 広告、リプライ、DM、または「サポート」アカウントからアクセスした | フィッシングリンクの可能性が高い |
| ドメインが公式のものとわずかに異なる | そっくりなドメイン |
| ウォレットが未知のコントラクトへの無制限の承認を求めている | ドレイナーのコントラクト |
| 「permit」を含むメッセージや長い型付きデータのリクエストへの署名を求められる | トークンを奪うために使えるオフチェーン承認 |
| サイトが復元フレーズや秘密鍵を求めてくる | 必ず詐欺 |
| 報酬を受け取るには今すぐブリッジしなければならないとポップアップが迫る | 圧力をかける手口 |
| ウォレットやブラウザ拡張機能がフィッシング警告を表示する | 警告を無視しない |
安全にブリッジする方法
毎回、次の手順を守りましょう。
- 1公式ブリッジを情報源から探す。 送金先ネットワークの公式ドキュメントにアクセスし、そこに掲載されたリンクからブリッジに移動します。正しいドメインにいることを確かめる方法は、ウェブサイトがプロジェクトの公式サイトかどうかを確認する方法のガイドで解説しています。
- 2ブックマークする。 それ以降はブックマークを使いましょう。ブリッジを検索して広告をクリックするのは絶対にやめてください。
- 3コントラクトを確認する。 プロジェクトがブリッジのコントラクトアドレスを公開している場合は、承認する前にウォレットに表示されるものと照合します。
- 4承認を制限する。 ウォレットが対応していれば、無制限ではなくブリッジする金額だけを承認しましょう。
- 5少額でテストする。 まず少額をブリッジし、送金先ネットワークに届いたことを確認します。
- 6実験用には別のウォレットを使う。 資金を限定した使い捨てウォレットなら、何か問題が起きても損失を一定額に抑えられます。
- 7終わったら取り消す。 トークン承認を取り消す方法のガイドで説明しているように、不要になった承認は削除しましょう。
スマートコントラクトのバグなど、ブリッジそのものが抱えるより広いリスクについては、ブロックチェーン間で暗号資産を安全にブリッジする方法をお読みください。
偽のブリッジを使ってしまった場合の対処法
すばやく行動してください。
- 1サイトとの接続を切り、タブを閉じます。
- 2承認を取り消す。 ブックマークからアクセスした信頼できる承認チェッカーを使い、承認したすべてのコントラクトの承認を取り消します。
- 3残りの資産を移す。 不審なものに署名した場合や復元フレーズを入力した場合は、新しい復元フレーズを持つまったく新しいウォレットに移します。
- 4詳細を記録する：ドメイン、トランザクションハッシュ、攻撃者のアドレス。
- 5報告する。 本物のブリッジプロジェクト、資金が流れ着く可能性のある取引所、そしてほかの人に注意を促すために当サイトの詐欺報告フォームから報告しましょう。
対応の全体像は、ウォレットが侵害されたときにすぐにやるべきことのステップバイステップガイドで解説しています。手数料と引き換えに資金を取り戻すと連絡してくる人は無視してください。資金回収詐欺は被害に遭ったばかりの人を狙います。さらに詳しくは、暗号資産デビットカード詐欺と偽のカードオファーをご覧ください。
まとめ
偽のブリッジサイトが成功するのは、本物とまったく同じ見た目で、急いでいる人を狙うからです。ページのデザインではなく、ドメインとウォレットのリクエストを真実とみなしましょう。ブリッジには公式ドキュメントとブックマーク経由でのみアクセスし、必要なものだけを承認し、少額でテストして、終わったら承認を取り消しましょう。
よくある質問
偽のブリッジサイトとは何ですか？
偽のブリッジサイトとは、本物のクロスチェーンブリッジのインターフェースを複製したもので、あなたのトークンを攻撃者に送るトランザクションや承認に署名させるために作られています。見た目は本物のサイトとまったく同じこともありますが、そっくりなドメインで運営され、ブリッジの本物のコントラクトではなく悪意あるコントラクトに接続します。
人はどのようにして偽のブリッジサイトにたどり着くのですか？
多くの場合、有料の検索広告、SNSのリプライに貼られたリンク、偽のサポートアカウント、DiscordやTelegramのメッセージ、あるいは先にブリッジするよう求めるエアドロップの告知を経由します。ドメインを自分で入力するかブックマークを使えば、こうした罠のほとんどを避けられます。
偽のブリッジを使ってしまった後、資金を取り戻せますか？
通常は取り戻せません。ブロックチェーン上の送金は取り消せず、攻撃者はすぐに資金を移動させます。承認を取り消し、残りの資産を新しいウォレットに移すことでさらなる被害を抑えられます。また、ほかの人に注意を促すためにサイトを報告しましょう。手数料と引き換えに資金を取り戻すと持ちかけてくる人には注意してください。
公式ブリッジは常にサードパーティのブリッジより安全ですか？
ネットワーク自体が提供する公式ブリッジでは信頼の階層が1つ減りますが、リスクがないわけではありません。公式ブリッジもサードパーティのブリッジも、バグや鍵の侵害が起こり得ます。個人ユーザーにとってより大きく、より一般的なリスクは、どちらかの偽のコピーにアクセスしてしまうことです。