「Crypto Drainer Toolkit」：あなたのウォレットを狙う「Angel Drainer」再販業者の実態

9段階の攻撃チェーン：偽のエアドロップからウォレットの空っぽ化まで

あらゆる暗号資産ドレイナーは、予測可能な一連の手順に従っています。「ドレイナー・アズ・ア・サービス」型の攻撃が危険なのは、その革新性ではなく、その規模の大きさにあるのです。同じ攻撃チェーンが数十ものドメインに複製され、それぞれが何も疑わない被害者を待ち受ける新たな罠となります。以下に、TRXDropのソースコードから抽出した、その正確な手順を段階ごとに示します。

TRXDrop 徹底解説：AIが生成したコード 本番環境で30以上のデバッグ文が含まれている

TRXDropは、TRONおよびSolanaの ウォレットを標的とする「Angel Drainer」の再販業者です。この手口の特徴は、その洗練度にあるのではなく―― むしろその正反対です。 ソースコードからは、 AIを活用した開発の紛れもない痕跡が確認できます。反復的な構造、冗長なコメント、 そして最も決定的なのは、30を超える console.log 本番環境のコードに残されたデバッグ用記述。

これらは経験豊富な開発者の手口ではありません。これらは、LLMに「ドレイナー」の作成を指示し、その出力を確認もせずにデプロイしてしまった人物の手口です。

XOR暗号化鍵

drainerのフロントエンドとバックエンドパネル間のすべての通信は、ハードコードされたXORキーを用いて暗号化されています： TRX_SECURE_2024_PANEL_KEY. 静的鍵を用いたXORは、当然ながら元に戻すことが可能であり、これもまた「コピー＆ペースト開発」の兆候の一つである。

WalletConnectの悪用

WalletConnect プロジェクト ID fbf5b42d9006502246e73447f5d50e33 は、15以上のすべてのドメインに組み込まれています。このプロジェクトIDが1つでも無効化されると、TRXDropネットワーク全体のウォレット接続が同時に利用できなくなります。

50回の強制再試行

署名プロンプトのループは、被害者が終了することを許可する前に50回再試行します。この心理的圧力をかける手法はハードコードされており、アフィリエイトが設定を変更することはできません。これは「Angel Drainer」キットの中核となる機能です。

30 TRXの手数料

排水に成功するたびに、30 TRXの手数料が運営者のウォレットに送金されます。現在のレートでは、被害者1人あたり約7～8米ドルに相当します。この低い利益率は、この事業が価値よりも取引量に依存していることを示唆しています。

TRXDrop ドメインインフラストラクチャ（15以上のドメイン）

NiceCrypto：80％の手数料を生み出すマシン

NiceCryptoは、あるシンプルな理念に基づいて運営されています。それは、「アフィリエイトにドレイナー市場で最高の報酬を支払えば、彼らは被害者を連れてくる」というものです。 80％というコミッション率により、NiceCryptoは、私たちが調査した「ドレイナー・アズ・ア・サービス」事業の中で最も手厚いアフィリエイト報酬分配率を提供しています。運営者はわずか20％しか受け取らず、これは大規模に展開して初めて成り立つ、紙一重の利益率です。

計算は単純明快だ。アフィリエイトが1,000ドル分のトークンを含むウォレットから資金を引き出せば、800ドルを手にすることになる。 NiceCryptoは200ドルを受け取ります。記録されているアフィリエイトへの支払いが8,454ドル以上あることから、この事業は少なくとも42,270ドル相当の盗まれた資金を処理してきたことになります――しかも、この数字はオンチェーン上で直接確認できる支払い分のみを反映したものです。

717Team：アーカイブ済み = ディスラプション・ワークス

717Teamは、こうした活動を阻止できることを証明しています。125人のメンバーと85の追跡対象ウォレットを抱える717Teamは、12以上のフィッシングドメインを運用していた中規模の資金流出グループでした。 確認された資金流出総額2,946.25ドルは、より大規模な組織と比べると控えめに見えるかもしれませんが、真に重要なのはその結果です： アーカイブ済み.

当社の追跡システムにおいて、「アーカイブ済み」とは、その活動が停止に至るほどに妨害されたことを意味します。ドメインはテイクダウンされ、インフラは破壊され、管理者は身元を暴かれました。717Teamは自発的に活動を停止したわけではありません。組織的な通報、ドメインのテイクダウン、そしてブロックチェーンセキュリティパートナーとの情報共有を通じて、活動を停止させられたのです。

アンチ分析：存在はするが、回避するのは容易

TRXDropは、ドレイナーのツールキットで標準的に用いられる2つの分析回避手法を採用している。いずれも、ざっとした調査を妨げることを目的としている。しかし、熟練したアナリストにとっては、いずれも大きな障害とはならない。

この傾向は、「Drainer-as-a-Service」のエコシステム全体に見られるものです。キットの開発者（この場合はAngel Drainer）は確かな技術力を有していますが、これらのキットを展開する再販業者や提携業者の多くは、そうした技術力を持ち合わせていません。分析対策機能が存在する理由は、オペレーターがセキュリティ研究を理解しているからではなく、キットがデフォルトでその機能を有効にした状態で出荷されているからです。

証拠および情報源分析

本調査で参照されたすべての証拠は、PhishDestroy ScamIntelLogs リポジトリに保存されています。各作戦には、設定ファイル、ソースコードの抜粋、ドメインリスト、ウォレットアドレス、およびTelegramのインテリジェンス情報を含む専用のディレクトリが用意されています。