偽のトークン移行・スワップ詐欺

トークン移行詐欺とは、犯罪者が「あなたの保有するトークンは新バージョンへの『アップグレード』『移行』『スワップ』が必要だ」と伝え、偽のポータルに誘導して、悪意ある承認、署名、または復元フレーズの要求によってウォレットを空にする詐欺です。本物の移行も実際に行われているため、話がもっともらしく聞こえてしまうのがこの詐欺の厄介な点です。

プロジェクトは、アップグレード、リブランディング、チェーンの移転などのために正当な理由でコントラクトを変更します。PolygonのMATICからPOLへの移行は、本物の移行のよく知られた例です。本物の移行が行われるたびに、保有者が指示を待つ期間が生まれ、詐欺師はその期間を偽の指示で埋めようと競い合います。

本物の移行がなぜ詐欺の隙を生むのか

プロジェクトが保有者にトークンの交換を求めるのには、正当な理由があります。

• コントラクトのアップグレード。 バグや新機能のために新しいトークンコントラクトが必要になる。
• リブランディングとトークン変更。 プロジェクトがあるトークンを後継トークンに置き換える。
• チェーンの移転。 トークンがあるブロックチェーンから別のブロックチェーンへ移る。たとえばERC-20からプロジェクト独自のメインネットへ。
• デノミネーション。 供給量が分割または統合される。たとえば旧トークン1枚が新トークン100枚になる。

いずれのケースも混乱を生み、その混乱は詐欺師にとって利益になります。多くの保有者はプロジェクトのニュースを細かく追っていないため、「旧トークンは廃止される」という説得力のあるメッセージが、緊急で役に立つ情報のように感じられてしまうのです。関連記事：検索広告を悪用したフィッシング。

詐欺の手口をステップごとに解説

1. 1標的を選ぶ。 詐欺師は告知された移行を監視するか、人気トークンについて移行話をでっち上げます。
2. 2ポータルを作る。 プロジェクトのサイトデザインを、「移行する」や「V2を受け取る」ボタン付きのそっくりなドメインに複製します。
3. 3リンクを拡散する。 公式アカウントへのリプライに投稿したり、検索広告を出したり、TelegramやDiscordでDMを送ったり、URLを名前にした無価値なトークンをエアドロップしたり、サポートスタッフになりすましたりします。
4. 4緊急性を演出する。 旧トークンが数時間以内に「使えなくなる」「すべての価値を失う」とメッセージで主張します。
5. 5資金を奪う。 ポータルはウォレットの接続を求め、続いて無制限の支出承認、permitまたはPermit2メッセージへの署名、「移行コントラクト」へのトークン送付、あるいは復元フレーズを入力してウォレットを「検証」するよう求めます。
6. 6抜き取りと資金洗浄。 署名した瞬間、自動化されたドレイナーが多くの場合数秒以内にトークンを持ち出し、多数のアドレスに分散させます。

ここで使われる署名のトリックについて詳しくは、アイスフィッシングとpermit署名のガイドをご覧ください。

仮想の事例

以下は説明のために構成した架空の事例であり、実際のケースではありません。

中規模のDeFiトークンを保有するSamという人物を想像してください。ある朝、Samはプロジェクトの公式投稿の下に次のようなリプライを見つけます。「お知らせ：V1トークンはUTC午前0時に廃止されます。こちらから移行してください」。リンク先はプロジェクトのサイトとまったく同じ見た目ですが、ドメインの文字が1つだけ違うサイトでした。この点については偽のWalletConnectとウォレットのポップアップを使ったフィッシングで詳しく解説しています。

Samはウォレットを接続し、「移行する」をクリックします。ウォレットには、そのトークンについて無制限の金額の承認リクエストが表示されます。Samはスワップなら普通のことだと思い、承認します。1分もしないうちに、トークン残高のすべてがウォレットから出ていきました。続いて2つ目のリクエストが表示され、「V2トークンを受け取る」ためにメッセージへの署名を求められますが、これはウォレット内の別のトークンに対するpermitです。V2トークンが届くことは決してありません。本物のプロジェクトは移行など一切告知していなかったのです。あわせて読みたい：偽のブリッジサイト。

危険信号チェックリスト

本物の移行を確認する方法

1. 1自分で情報源にアクセスする。 プロジェクトの公式ドメインを自分で入力するか、ブックマークを使いましょう。公式ドキュメントやブログに移行に関するページがあるか確認します。方法はウェブサイトがプロジェクトの公式サイトかどうかを確認する方法で解説しています。
2. 2告知を照合する。 プロジェクトの認証済みSNSアカウントに告知が掲載されているか、できればそのトークンを上場している取引所も報じているかを確認します。
3. 3利用している取引所を確認する。 トークンを取引所に預けている場合は、その取引所の公式なお知らせを探しましょう。取引所は通常、顧客に代わって交換を処理します。
4. 4新しいコントラクトを検証する。 トークンの公式コントラクトアドレスを確認する方法のガイドで説明しているように、新トークンのアドレスを公式ドキュメントとブロックエクスプローラーで照合します。
5. 5署名する前にトランザクションを読む。 承認しようとしているコントラクトが、文書化された移行コントラクトと一致するか確認し、可能であれば承認額を制限しましょう。
6. 6確信が持てなければ待つ。 本物の移行で、確認に1日かけた保有者が不利益を被ることはまずありません。

被害に遭ってしまった場合の対処法

次の順番で、すばやく行動してください。

1. 1承認を取り消す。 信頼できる承認ツールを使い、詐欺コントラクトに与えた承認やpermitをすべて取り消します。トークン承認を取り消す方法をご覧ください。
2. 2ウォレットを保護する。 復元フレーズを入力してしまった場合は、そのウォレットが侵害されたものとみなし、新しい復元フレーズを持つまったく新しいウォレットに残りの資産を移します。ウォレットが侵害されたときにすぐにやるべきことのチェックリストに従ってください。
3. 3証拠を記録する。 URL、スクリーンショット、トランザクションハッシュ、詐欺師のアドレスを保存します。
4. 4報告する。 本物のプロジェクト、ウォレットプロバイダー、リンクを見かけたプラットフォームに知らせましょう。当サイトの詐欺報告フォームから、サイトやアドレスを私たちに報告することもできます。
5. 5資金回収詐欺に注意する。 手数料と引き換えに資金を取り戻すと約束する人は、ほぼ間違いなく二次詐欺を行っています。

まとめ

トークン移行詐欺は、プロジェクトが実際にトークンを交換・アップグレードすることがあるという現実のプロセスを悪用します。防御策はシンプルですが、厳格に守る必要があります。公式チャネルで自分で見つけた移行手順だけに従い、新しいコントラクトアドレスを検証し、復元フレーズは決して共有せず、緊急性の演出やプライベートメッセージは危険信号とみなしましょう。本物の移行であれば、確認を終えた後でもなくなることはありません。