偽WalletConnectと偽ウォレットポップアップによるフィッシング：仕組みと身を守る方法

WalletConnectフィッシングとは、偽のウェブサイトが本物そっくりの「ウォレットを接続」画面やウォレットのポップアップを表示し、あなたに復元フレーズを入力させたり、悪意のあるトランザクションに署名させたりする詐欺です。本物のWalletConnectプロトコルが復元フレーズを求めることはありません。接続リクエストやトランザクションをウォレットアプリに渡すだけで、承認するのはあなた自身です。

こうした詐欺が成功するのは、ウォレットの接続が日常的な作業になっているからです。同じ手順を何十回も繰り返すうちに、よくできた模倣を見過ごしてしまいます。本物の手順がどう見えるかを知っておくことが、最善の防御です。

本物のウォレット接続の流れ

正規の手順を理解しておくと、偽物に気づきやすくなります。

1. 1分散型アプリにアクセスし、「ウォレットを接続」をクリックします。
2. 2アプリはブラウザ拡張機能やWalletConnectなどの選択肢を一覧表示します。
3. 3WalletConnectを選ぶと、アプリはQRコードを表示するか、モバイルではディープリンクでウォレットアプリを開きます。
4. 4ウォレットアプリがサイトの名前とドメインを表示し、接続の承認を求めます。
5. 5その後、何か操作をすると、ウォレットがトランザクションや署名リクエストを表示し、あなたが承認または拒否します。

どの段階でも、アプリがあなたの復元フレーズや秘密鍵を必要とすることはありません。機密情報はすべてウォレットの中にとどまります。ウォレットの権限と接続済みサイトのガイドでは、接続によって何が許可され、何が許可されないかを説明しています。さらに詳しくは改ざんされたハードウェアウォレットと偽物のハードウェアウォレットをご覧ください。

詐欺の仕組み（ステップごと）

手口1：復元フレーズの窃取

1. 1おとり。 被害者は「ウォレットが同期されていません」「請求に失敗しました。ウォレットを検証してください」「トークンを移行してください」といった問題を知らせるメッセージを目にします。リンクはSNSの返信、偽のサポートアカウント、広告、メールなどを通じて届きます。
2. 2偽サイト。 ページは中立的な「ウォレットツール」や「dapp修正」サイトのように見え、WalletConnectのブランドとウォレットのロゴが並んだグリッドが表示されていることがよくあります。
3. 3偽のエラー。 ウォレットのロゴをクリックすると偽の読み込み表示が出て、続いて「自動接続に失敗しました。手動で接続してください」というエラーが表示されます。
4. 4窃取。 「手動」の選択肢では、12語または24語の復元ワード、秘密鍵、キーストアファイルを求められます。入力した内容はすべて詐欺師に送られ、数分以内にウォレットが空にされます。

手口2：悪意のある署名

この手口では、サイトはあなたの本物のウォレットに正しく接続し、その後、有害なものへの署名を求めます。無制限のトークン承認、permit署名、資産を移転するトランザクションなどです。ポップアップは本物でも、リクエストが悪意あるものなのです。詳しくはアイスフィッシングとpermit署名の解説記事をご覧ください。

手口3：ページ内に描かれた偽のウォレット画面

一部のサイトは、人気の拡張機能ウォレットをロゴやパスワード入力欄まで完璧に再現した画面をページ内に描画します。最初にパスワードを求め、その後「アクセスを復元するため」と称して復元フレーズを求めてくることがあります。関連記事：検索広告を使ったフィッシング。

仮想の事例

以下は複数の要素を組み合わせた説明用のシナリオであり、実際の事例ではありません。あるプロジェクトの過去のエアドロップでトークンを受け取ったマヤさんを想像してください。彼女はSNSに、請求がうまくいかなかったと投稿します。数分以内に、プロジェクトのロゴを掲げたアカウントが「ご不便をおかけして申し訳ありません！保留中の請求は当社のウォレット同期ポータルで解決できます」とリンク付きで返信してきます。

サイトにはWalletConnect風の画面が表示されます。彼女が自分のウォレットを選ぶと「接続エラー。手動で接続してください」と表示され、入力欄が復元フレーズを求めます。彼女はそれを入力します。10分後、彼女のトークンとそのネットワークのネイティブコインは送金されてしまいました。「サポート」アカウントは返信を削除します。

どの段階にも危険信号がありました。頼んでもいない手助け、非公式のリンク、そして何よりも復元フレーズの要求です。この点については暗号資産ローン詐欺の記事で詳しく取り上げています。

危険信号チェックリスト

• サイトや画面が復元フレーズ、秘密鍵、キーストアファイルを求めてくる。これだけで詐欺だと判断できます。
• 「ウォレット画面」をブラウザの外にドラッグできない、またはタブを切り替えると消えてしまう。
• リンクが返信、ダイレクトメッセージ、広告、または「サポート担当者」から送られてきた。
• ドメインに見覚えがない、つづりが間違っている、変わった末尾を使っている、そしてプロジェクトの公式サイトからリンクされていない。
• 「同期」「検証」「修正」「ホワイトリスト」など、修正が必要だという漠然とした問題を主張している。
• 予期していない無制限の支出の承認や、読めないメッセージへの署名をウォレットが求めている。
• 「30分後に資産が凍結されます」などと急かしてくる。

身を守る方法

1. 1復元フレーズをどのウェブサイトにも入力しないでください。 復元フレーズを入力してよいのは、自分の端末でウォレットアプリを復元するときだけです。
2. 2アプリにはブックマークからアクセスしましょう。 プロジェクトのウェブサイトから公式リンクを保存し、毎回それを使ってください。ウェブサイトがプロジェクトの公式サイトかどうかを確認する方法もご覧ください。
3. 3ウォレットに表示されるドメインを読みましょう。 接続を承認する前に、ウォレットに表示されるサイト名が公式ドメインと一致しているか確認してください。
4. 4署名リクエストはすべて読みましょう。 リクエストが何をするのか分からなければ、拒否してください。
5. 5試用には別のウォレットを使いましょう。 長期保有の資産は、新しいサイトにほとんど接続しないウォレット、理想的にはハードウェアウォレットに保管してください。
6. 6古い承認は定期的に取り消しましょう。 方法はトークン承認を取り消す方法のガイドで紹介しています。

被害に遭ってしまったら

その後、ウォレットが侵害されたときにすぐにすべきことのステップごとのガイドに従ってください。サイトのURL、トランザクションハッシュ、スクリーンショットを保存し、ほかの人に注意を促せるよう、当サイトの詐欺報告フォームからサイトを報告してください。その後連絡してくる「資金回復サービス」には注意しましょう。多くの場合、それは二次詐欺です。

まとめ

WalletConnectやウォレットのポップアップは、本物のウォレットと本物のアプリから表示されるものであれば安全なツールです。詐欺が潜んでいるのは、復元フレーズを求める模倣画面と、日常的な手順に見せかけた悪意あるリクエストです。正規のサービスが復元ワードを必要とすることはありません。画面がそれを求めてきたら、閉じてください。