ウォレットの検証・同期を装う詐欺
ウォレット検証詐欺は、ウォレットを「同期」または「認証」するためと称してシードフレーズを入力させる手口です。その仕組み、危険信号、そして取るべき対応を解説します。
ウォレット検証詐欺は、ウォレット同期詐欺とも呼ばれ、エラーの修正、エアドロップの受け取り、資金のロック解除のためにウォレットを「検証」「同期」「修正」「ホワイトリスト登録」する必要があると主張して、偽のウェブサイトやフォームにシードフレーズや秘密鍵を入力させる手口です。正規のウォレットやアプリがこうした目的でシードフレーズを必要とすることは決してないため、そのような要求はすべて窃盗です。
この詐欺が効果的なのは、本物の技術用語を借用し、送金が詰まっている、トークンが見当たらないといった実際の問題を抱えている人のもとに、まさにそのタイミングで「助け」として現れることが多いからです。このガイドでは、その仕組みを説明し、仮想の例を紹介し、すでにリカバリーフレーズを入力してしまった場合にすべきことを示します。
詐欺の手口をステップごとに解説
- 1きっかけ。 被害者は、保留中のトランザクション、届かないエアドロップ、失敗したスワップ、あるいは単に「必須アップデート」への興味など、実際の、または思い込みの問題を抱えています。
- 2最初の接触。 詐欺師が接触してきます。多くの場合、公開の質問に返信する偽のサポートアカウント、DiscordやTelegramのダイレクトメッセージ、悪意あるウェブサイト上のポップアップといった形を取ります。
- 3作られた問題。 被害者は、ウォレットが「同期していない」「未検証」またはフラグ付きであり、資金の移動や報酬の受け取りの前に修正が必要だと告げられます。
- 4偽のツール。 リンク先は「wallet rectify」「DApp sync」「node validator」といった名前のサイトです。人気ウォレットのロゴと「Connect manually」などのボタンが表示されます。
- 5情報の奪取。 サイトはシードフレーズ、秘密鍵、またはウォレットのバックアップファイルとパスワードを要求します。
- 6資金の抜き取り。 自動化されたスクリプトがウォレットをインポートし、数分以内に資産を根こそぎ持ち去ります。多くの場合、複数のネットワークで同時に行われます。
中核となる手法は、シードフレーズ詐欺のガイドで説明しているものと同じです。検証詐欺は、それを技術的に聞こえる言葉で包んでいるにすぎません。関連記事：暗号資産デビットカード詐欺と偽のカード勧誘。
仮想の例
以下は説明のために作成した複合的な例であり、実際の事例ではありません。
レオのトークンスワップが数分間保留のままになっているとします。彼はあるプロジェクトの公開チャットに助けを求める投稿をします。数秒のうちに、プロジェクトのロゴを掲げた「Support Desk」という名前のアカウントから、こんな個人メッセージが届きます。「お使いのウォレットでネットワークノードとの同期エラーが発生しています。当社の公式DAppツールで検証してください。」この点については、記事バニティアドレスのリスクと似たアドレスで詳しく解説しています。
リンクを開くと、人気のウォレットがいくつも並んだ本格的な見た目のページが表示されます。レオが自分のウォレットを選ぶと、同期を完了するためにウォレットを「インポート」するよう求められます。彼は12語のフレーズを入力します。ページには回転する読み込みアイコンが表示され、続いて「検証に成功しました」と出ます。1時間後、彼が使っていたすべてのネットワークでウォレットは空になっていました。
詐欺を見破る危険信号
| 危険信号 | 本当の意味 |
|---|---|
| シードフレーズや秘密鍵を求めるあらゆる要求 | 相手はあなたの資金を奪おうとしている |
| 「修正」「検証」「同期」「ホワイトリスト」といった言葉 | 技術的に聞こえるよう作られた架空の問題 |
| サポート側から、特にダイレクトメッセージで先に連絡してくる | 本物のサポートチームはめったにそうしない |
| 多数のウォレットロゴと「手動接続」オプションが並ぶサイト | よくある偽ツールのテンプレート |
| 「24時間以内に修正しないと資金を失う」などの急かし | 確認させないための圧力 |
| 短縮リンクや不自然なドメイン | そのサイトはプロジェクトの公式ドメインではない |
関連する手口には、ウォレットアプリでの偽カスタマーサポートや偽のWalletConnectポップアップがあります。
身を守る方法
- シードフレーズはすべてを開ける鍵として扱いましょう。 入力してよいのは、自分で開始した本物の復元時に、ウォレットアプリまたはハードウェアウォレットへ入力する場合だけです。
- 助けは公式チャネルからのみ求めましょう。 サポートは、自分でアドレスを入力したウォレットの公式サイトから探してください。
- 見知らぬ人からのダイレクトメッセージをオフにしましょう。 DiscordやTelegramで可能な場合は設定してください。
- 質問も回答も公開の場で。 コミュニティチャットで助けが必要なときは、モデレーターが見られる公開チャンネルでやり取りを続け、個人メッセージに移ろうと強く求める相手は無視しましょう。
- 公式サイトをブックマークしましょう。 検索結果や見知らぬ人からのリンクではなく、保存したブックマークからウォレットのウェブサイトやサポートページにアクセスしてください。
- 多額の資産にはハードウェアウォレットを使いましょう。 鍵をオフラインで保管できますが、ウェブサイトに入力してしまったシードフレーズは守れません。
- 本当の問題がどんなものかを知っておきましょう。 詰まったトランザクションに必要なのは、通常は手数料の調整か待つことであり、「検証」ではありません。ガイド詰まったEthereumトランザクションを高速化またはキャンセルする方法で本当の対処法を解説しています。
シードフレーズを入力してしまった場合の対処法
できるだけ早く行動しましょう。
- 1まったく新しいウォレットを作成しましょう。 新しいシードフレーズを使い、できれば別の信頼できる端末で作成してください。
- 2残っている資産をすべて移しましょう。 侵害されたウォレットから新しいウォレットへ、価値の高いものから順に移します。攻撃者が監視している可能性があるため、スピードが重要です。
- 3古いシードフレーズは二度と使わないでください。 どこにも再度インポートしないようにしましょう。
- 4ステーキング中やロック中の資産を確認しましょう。 後でロックが解除される可能性があるため、可能になり次第、新しいウォレットへ引き出す計画を立ててください。
- 5サイトとアカウントを通報しましょう。 遭遇したプラットフォームと、当サイトの詐欺報告フォームから通報できます。
ウォレットが侵害されたときにすぐやるべきことの完全なチェックリストでは、承認の取り消しや接続済みデバイスの確認など、追加の手順を紹介しています。さらに詳しく知りたい場合は、新しいウォレットへ安全に移行する方法をお読みください。
まとめ
ウォレットをウェブサイト経由で検証したり同期したりする必要はありません。シードフレーズを求めるメッセージ、ポップアップ、「サポート担当者」はすべて、あなたから盗もうとしています。助けは自分で見つけた公式チャネルからのみ求め、すでにフレーズを入力してしまった場合は、残りの資金をすぐに新しいウォレットへ移しましょう。
よくある質問
暗号資産ウォレットを検証や同期する必要が生じることはありますか？
詐欺師が説明するような形ではありません。セルフカストディ型ウォレットが、ウェブサイトでシードフレーズを入力することで検証、ホワイトリスト登録、修正、同期される必要は一切ありません。ソフトウェアが自動で更新されたり、ネットワークと再同期したりすることはありますが、そのために本物の復元時のウォレットアプリ以外の場所でリカバリーフレーズを入力する必要は決してありません。
検証サイトにシードフレーズを入力してしまったらどうなりますか？
そのシードフレーズから派生するすべてのアカウントを、詐欺師がすでに掌握していると考えてください。すぐに信頼できる端末で新しいシードフレーズを使って新しいウォレットを作成し、残っている資金をそこへ移しましょう。古いシードフレーズは二度と使わないでください。その後、必要に応じて承認を取り消し、サイトを通報しましょう。
なぜこうした詐欺はWalletConnectや「DAppの修正」に言及するのですか？
詐欺師は本物の技術用語を借りて正規に見せかけます。WalletConnectはウォレットをアプリに接続するための実在するプロトコルですが、シードフレーズを求めることは決してありません。「修正」「ウォレット検証」「ノード同期」といった言葉は、焦りと混乱を生み出すために作られた架空の問題です。
偽のサポート担当者を通じてウォレット検証詐欺が行われることはありますか？
あります。よくあるのは、SNSやDiscordサーバーで助けを求めている人に偽のサポートアカウントが返信し、「検証」サイトへのリンクを送ってくるパターンです。本物のサポートチームがシードフレーズや秘密鍵を求めることはなく、向こうから先に連絡してくることもめったにありません。