暗号資産を守る：フィッシングや詐欺に対するセキュリティ対策ガイド

暗号資産の分散型世界は計り知れない可能性を秘めていますが、それと同時に新たなリスクも伴います。フィッシング、詐欺、悪意のあるスマートコントラクト、その他の種類の不正行為が、常にあなたのデジタル資産を脅かしています。安全を確保するためには、情報を把握し、先を見越したセキュリティ対策を講じることが不可欠です。

暗号資産に対する主な脅威

1. フィッシングと偽サイト

詐欺師たちは、人気のある仮想通貨取引所、ウォレット、DeFiプラットフォームのそっくりなサイトを作成し、ユーザーを騙して秘密鍵、シードフレーズ、またはログイン情報を明かさせようとします。常にウェブサイトのURLを再確認し、メールやメッセージ内のリンクではなく、ブックマークからアクセスするようにしてください。

2. 財布を空にする連中

これらは、ウォレットに接続したり、トランザクションに署名したりすると、所有する資産をすべて攻撃者のウォレットに送金して、ウォレットの資産をすべて奪い去ってしまう悪意のあるスクリプトです。これらは、多くの場合、正規のdAppやNFTプロジェクト、エアドロップを装っています。

3. 詐欺とソーシャルエンジニアリング

これには、簡単にお金が稼げるという約束、偽のプレゼントキャンペーン、「ポンプ・アンド・ダンプ」詐欺、そしてウォレットへのアクセス権や個人情報の提供を求められるテクニカルサポート詐欺などが含まれます。

暗号資産を守るための実践的な対策

1. 権限を定期的に取り消す（Revoke.cash）

スマートコントラクトとやり取りをするたびに（例えば、分散型取引所やNFTマーケットプレイスでトークンの承認を行う場合など）、そのコントラクトに対して、自分のトークンの一定量にアクセスする権限を付与することになります。もしそのコントラクトが悪意のあるものであることが判明したり、侵害されたりした場合、これらの権限が悪用され、ウォレットの残高がすべて奪われてしまう可能性があります。

• 対処法： 次のようなサービスを利用してください Revoke.cash. このツールを使えば、スマートコントラクトに付与したすべての権限を確認・取り消すことができます。定期的に確認を行い、不要な権限や不審な権限は取り消してください。これはリスクを最小限に抑えるために極めて重要です。

2. システムおよびアプリケーションの適時な更新

古いソフトウェアは、攻撃者にとって格好の侵入経路となります。アップデートには、既知の脆弱性を修正するセキュリティパッチが含まれていることがよくあります。

• 対処法：
  • オペレーティングシステム： お使いのOS（Windows、macOS、Linux）が常に最新バージョンに更新されていることを確認してください。
  • ブラウザ： ブラウザ（Chrome、Firefox、Braveなど）は、フィッシング対策のセキュリティ機能が組み込まれていることが多いため、最新バージョンを使用してください。
  • 暗号資産ウォレットと拡張機能： ソフトウェアウォレット（MetaMaskなど）および関連する拡張機能は、定期的に更新してください。

3. ポートフォリオの分散：すべての卵を1つのカゴに入れない

すべての暗号資産を1つのウォレットに保管すると、ハッキングやフィッシング攻撃を受けた際に、すべてを失うリスクが高まります。

• 対処法：
  • ホットウォレット： これらは、日常的な取引やdAppとのやり取りを目的とした少額のみに使用してください。
  • コールドウォレット／ハードウェアウォレット： 多額の資産を長期的に保管する場合は、ハードウェアウォレット（Ledger、Trezor）をご利用ください。これらは秘密鍵をオフラインで保管することで、最大限のセキュリティを確保します。
  • 資産の分離： 資産を複数のウォレットや取引所に分散させて、単一の攻撃が成功した場合の被害を最小限に抑えましょう。

4. アドレスと署名済み取引は常に確認する

詐欺師は、マルウェアを使ってクリップボード内の受信者アドレスを変更したり、取引詳細を偽装したりすることがあります。

• 対処法：
  • 再確認： 送金を行う際は、必ず受取人の住所、特に先頭と末尾の数文字を慎重に確認してください。
  • 署名依頼の閲覧： ウォレットに表示されるすべての取引署名リクエストを注意深く確認してください。自分が何を承認しようとしているのかを正確に理解するようにしてください。不審なリクエスト（例：未知のコントラクトに対する「すべてへの承認設定」など）は、資金を不正に引き出すもの（ドレイナー）である可能性があります。

5. 二要素認証（2FA）を利用する

2FAは、取引所や各種サービス上のアカウントに、さらなるセキュリティ層を追加します。

• 対処法： SMSによる2段階認証は傍受されやすいため、可能な限り、SMSの代わりに認証アプリ（Google Authenticator、Authyなど）を使用して2段階認証を有効にしてください。

6. 予期せぬオファーやメッセージには注意してください

「あまりにも良すぎる」と思われるオファーは、たいていそうではないものです。

• 対処法： 「無料」の仮想通貨や簡単な稼ぎ方を約束する見知らぬ人からのメッセージは無視してください。情報はプロジェクトの公式チャネルを通じて確認してください。

7. ハードウェアウォレットとエアギャップ方式による署名

ホットウォレット（ブラウザ／モバイル）は、暗号資産において最大の攻撃対象となっています。長期保有の資産は、 ハードウェアウォレット — Ledger、Trezor、Keystone、またはBitBox — これらは、秘密鍵がデバイス外に出ることがないものです。高額な取引を行う場合は、以下の点を検討してください エアギャップ方式 QRコードによる署名（Keystone、Coldcard、AirGap Vault）を採用しているため、たとえコンピュータが侵害されたとしても、鍵が外部に持ち出されることはありません。

• ハードウェアウォレットを購入する メーカー直販のみ channels — サプライチェーンへの改ざんは、現実の攻撃です。
• デバイスは清潔な環境でセットアップしてください。初回使用前に、ファームウェアの署名を確認してください。
• シードフレーズを以下に記録してください 鋼 バックアップ（Cryptotag、Billfodl） — 紙は燃えたり色あせたりする。
• 種をタイプしたり、写真を撮ったり、デジタル形式で保存したりしてはいけません。iCloud、Google Drive、パスワード管理アプリ、メモアプリなど、いかなる場所でも保存しないでください。

8. 手当の承認は慎重に行う

ウォレットドレイナーはあなたのシードを必要としません。彼らが必要としているのは、トークンを送金するための署名付き承認1つだけです。トランザクションに署名する際は、毎回注意深く内容を確認してください：

• 関数を確認してください： approve, setApprovalForAll, permit, increaseAllowance、および signOrder トークンの移動権を付与する――譲渡ではない。
• 支出元を確認してください： 承認するアドレスは、既知のプロトコル契約である必要があります。EOA（外部所有アカウント）や未検証の契約を絶対に承認しないでください。
• 金額を確認してください： 無制限と求められた場合は（2^256-1)、正確な上限を設定することを好む。
• チェーンを確認してください： フィッシングサイトは、フィルタを回避するために、あなたのウォレットを予期しないチェーンに切り替える可能性があります。
• 使用方法 Blockaid, ScamSniffer、または ウォレットガード 署名前に悪意のある承認をフラグ付けするための拡張機能。

9. ドメインとブックマークの管理

最も成功率の高いフィッシング攻撃は、URLを入力したりリンクをクリックしたりする瞬間を狙ったものです。対策：

• ブックマーク 利用するすべてのウォレット、取引所、ブリッジにおいて、機密性の高いサイトのドメインを手動で入力することは絶対に避けてください。
• Googleのスポンサー広告や広告検索結果を避けてください。仮想通貨ウォレット、取引所、ブリッジに関するスポンサー広告のキーワードは、フィッシング攻撃の最大の経路となっています。これについては、以下の記事で詳しく解説しています。 世界的な詐欺を助長するレジストラ.
• 余分な文字が含まれているURLは信用しないでください： uniswap-app.org, metamask-extension.com, app-pancakeswap.io — 公式ドメインはシンプルです。
• Certificate Transparency を通じてドメインを確認する (crt.sh) — ブランドにそっくりな商品に対して新たに発行された証明書は、大きな危険信号だ。

10. 「アドバート」や職場での閲覧詐欺に注意

暗号資産関連のチームは、広告や提携の提案を装ったビジネス型のソーシャルエンジニアリング攻撃に、ますます被害を受けるようになっています。攻撃者は、「メディアキットビューアー」「広告マネージャー」「Zoomクライアント」、あるいは「安全なNDAツール」などのインストールを求めますが、その「ツール」は実際には情報窃取ツールです。 この手口によってプロジェクトの資金が使い果たされてしまった事例を、私たちは記録しています： $100K Returned — Adverting Scam Foiled.

• 身元が確認されていない第三者から提供された特別なクライアント、ビューア、または「アップデータ」は、絶対にインストールしないでください。
• Zoom、Telegram、Discordについては、必ず公式ベンダーのダウンロードサイトから入手してください。スポンサー付きの検索結果は絶対に利用しないでください。
• ワークフローでカスタムクライアントが必要となる場合は、デフォルトではそれを敵対的なものとみなすこと。

11. 暗号資産チームの業務上の衛生管理

• 専用機 財務業務用 — 新しいOS、ハードウェアウォレット、拡張機能は最小限、メールやSNSは利用しない。
• マルチシグ 毎月のバーン量を超える規模のトレジャリー（Safe、Squadsなど）については。
• 出金先アドレスをホワイトリストに登録する 取引所では、可能な限りタイムロックを設定すること。
• 運用用シードのバックアップ M-of-N分割（シャミールの秘密分散法）を用いた地理的に分散された鋼材保管において。
• インシデント対応マニュアル: 誰が誰に連絡するか、どのウォレットの権限を取り消すか、監査ログがどこにあるかなどを事前に文書化しておく。侵害発生後の最初の1時間が決定的である。

12. すでに感染している場合

• 資金を移動する 直ちに 悪意のあるサイトにアクセスした、あるいは不審な取引に署名したウォレットからはすべて。完璧なプロセスよりもスピードが重要です。
• 以下の場所にあるすべてのトークンの承認を取り消してください revoke.cash 正常に動作するデバイスから。
• 侵害されたデバイスをすべてのネットワークから切り離し、そのマシンで使用されたすべての認証情報を更新し、クリーンなメディアからOSを再インストールしてください。
• 証拠を保存してください：ディスクイメージ、ブラウザの履歴、トランザクションのハッシュなど。これらはインシデント報告や、場合によっては復旧作業に必要となります。
• 報告先： @PhishDestroy_bot およびお問い合わせ SEAL 911 緊急時のセキュリティに関する専門的な支援が必要な場合。
• インシデント対応ガイドの全文はこちらをご覧ください： 緊急対応 — ハッキング被害を受けた後の対処法.

セキュリティ強化のための追加リソース

情報を常に把握しておくことが成功の半分です。おすすめの情報源：

• セキュリティ・アライアンス — マルウェア — 仮想通貨ユーザーを標的とするマルウェアファミリーに関する詳細な分析。
• PhishDestroy 削除リスト — 13万以上のアクティブなフィッシング・詐欺ドメイン。DNS、ファイアウォール、またはブラウザに統合可能です。
• @PhishDestroyAlerts — 新たに発見された詐欺インフラに関するリアルタイムのアラート。
• テイクダウンの仕組み — PhishDestroyがフィッシングのインフラをどのように破壊するか。
• サイバー犯罪対策のためのオープンソースツール — 包括的なOSINTツールキット。
• 150件以上の偽Mozilla拡張機能に関する調査 — 悪意のある拡張機能がシードを収集する仕組み。

「PhishDestroyでは、皆様がデジタル世界において安全に過ごせるよう、必要なツールや知識を提供することに努めています。忘れないでください。皆様自身の警戒心こそが、第一の、そして最良の防御策なのです。」

暗号資産を保護するには、絶えず注意を払い、積極的な対策を講じる必要があります。これらの推奨事項に従うことで、詐欺の被害に遭うリスクを大幅に低減でき、分散型金融の世界をより安心して利用できるようになります。