第一四半期のフィッシング攻撃による全体の損失は1.73億ドル、新たな詐欺は防ぎようがなく、手も足も出ない？

最近、欧科云链は2024年3月の安全月報を発表し、全ネットワークでの3月の安全事件による損失は約1.9億ドルに達しました。その中でフィッシング事件の損失は16.72%を占め、RugPull事件の損失9.64%を大きく上回り、徐々にハッカーたちに最も好まれる新しい詐欺手法となりつつあります。
同時に、Scam Snifferは3月のフィッシング報告を発表し、暗号分野におけるフィッシング詐欺による損失は7100万ドルに達し、2月から50%増加しました。2024年第一四半期には、フィッシング詐欺による総損失は1.73億ドルに達しました。以前、Scam Snifferは2023年に暗号通貨のフィッシング攻撃が32.4万人のユーザーに近3億ドルの損失をもたらしたと報告しています。

では、フィッシング攻撃とは一体何でしょうか？最近、どのプロジェクトがフィッシング攻撃を受けたのでしょうか？一般ユーザーはこれらの詐欺手法にどのように対処すればよいのでしょうか？以下では、これらの問題に対する回答を行います。

フィッシング攻撃の手段とは？無限の底なしの攻撃者とは誰か？

「フィッシング」とは、暗号ユーザーをターゲットにしたネットワーク詐欺手法であり、正式なウェブサイトに偽装した偽のウェブサイトを作成することで、ユーザーの認証、署名、暗号資産を盗み取ります。フィッシング攻撃の経路は、プロジェクトの公式Twitterがハッキングされた後、ハッカーがその公式Twitter上に誘導的なフィッシングリンクを投稿し、ユーザーを誘い込んでリンクをクリックさせ、ウォレットと相互作用させた後に直接資産を盗むというものです。
簡単に言えば、ハッカーはプロジェクト側またはKOLのTwitterアカウントを盗み、虚偽のリンクを投稿し、誘導的な文言を添えます。ユーザーはプラットフォームやKOLへの信頼と利益の誘惑から、急いでハッカーの指示に従って一連の操作を行い、偽のウェブサイトに自分の秘密鍵、パスワード、またはその他の敏感な情報を入力します。これらの情報が攻撃者に取得されると、ユーザーの資産はすぐに盗まれてしまいます。無限の底なしの盗取行為の背後には、巨大な利益の連鎖が隠れています ― フィッシング攻撃ソフトウェアの提供者とその顧客、つまりフィッシング攻撃の発起者です。
現在、フィッシング攻撃といえば、多くの業界関係者がまず思い浮かべるのが詐欺団体Pink Drainerです。Pink Drainerチームは、TwitterやDiscordなどのプラットフォームでの高調な攻撃により悪名高く、Evomos、Pika Protocol、Orbiter Financeなどの事件に関与しています。
Pink Drainerは、悪意のある攻撃者に対してマルウェア・アズ・ア・サービス（Malware-as-a-Service、MaaS）を提供し、相手が迅速に悪意のあるフィッシングウェブサイトを構築できるようにします。この悪意のあるソフトウェアを通じて、不正な資産を取得することができます。
ブロックチェーンセキュリティ会社Beosinは、このフィッシングウェブサイトが暗号ウォレットを盗むツールを使用し、ユーザーに署名を求めるように誘導していると指摘しています。一旦リクエストが署名されると、攻撃者は被害者のウォレットからNFTやERC-20トークンを移転できるようになります。成功した後、Pink Drainerは攻撃者に盗まれた資産の30%を手数料として請求します。

Duneのデータによると、4月4日までにPink Drainerによるフィッシング攻撃は合計13415人の被害者を出し、業界全体での盗取金額は5341万ドルに達しました。

フィッシング攻撃が蔓延し、プロジェクト側と投資者が一度でも被害に遭うと取り返しのつかない事態に直面する可能性がある

フィッシング攻撃者の魔の手は、ますます多くのプロジェクト側に伸びています。
欧科云链が発表した2024年3月の安全月報によると、当月公式SNSでの詐欺とフィッシング事件は合計50件発生し、主にX、Discord、各種フィッシングウェブサイトなどのチャネルに集中しています。この記事では、今年に入ってからフィッシング攻撃を受けた一部の主要プロジェクトや機関を整理しました：
1月5日、CertiKのTwitterアカウントが一時的に盗まれました；1月10日、SECのTwitterアカウントが盗まれ、関連電話番号が不正に使用されました；1月26日、AltLayerのTwitterアカウントが攻撃されました；1月29日、MasaのTwitterアカウントが疑似的に盗まれ、虚偽のエアドロップリンクが投稿されました；2月3日、Blockworksの創設者のTwitterアカウントが疑似的に盗まれました；2月20日、ARPAの公式Twitterアカウントが盗まれ、虚偽のトークン申請リンクが投稿されました；3月6日、Aevoの偽アカウントがエアドロップフィッシングリンクを投稿しました；3月12日、beobleの公式Twitterアカウントが疑似的に盗まれ、虚偽のエアドロップリンクが投稿されました；3月15日、Activision Blizzardの公式Twitterアカウントが盗まれました；3月20日、ハードウェアウォレットTrezorのTwitterアカウントが盗まれました；3月23日、CointelegraphのTwitterアカウントが疑似的に盗まれました。
この中で、最も驚くべきは、業界の権威あるセキュリティ機関であるCertikのアカウントが盗まれたことで、詐欺者の技術更新の速度の速さを示しています。1月5日にCertikのアカウントが盗まれた当日、攻撃者はそのアカウントを使ってフィッシングリンクを投稿しましたが、幸いにもCertikはすぐに脆弱性を発見し、数分以内に関連ツイートを削除しました。その後、CertikはSNS上でこれは持続的な攻撃であると述べました。
同様にフィッシング攻撃を受けた場合でも、すべての人がCertikのように幸運ではありません。まず、資産を盗まれたユーザーは、無実のまま巨額の資産損失を被り、追及する場所もなく、多くの場合、プロジェクト側に対して不満を抱くしかありません。同じく被害者であるプロジェクト側も、多くの場合、言い訳の余地がなく、事後に賠償手続き、危機管理、技術維持などの複数の作業を同時に開始する必要があり、これがプロジェクト運営に大きな損失をもたらします。その中には、フィッシング攻撃を受けた後に資産価格が短期間で暴落するプロジェクトもあります。例えば：
3月6日、Scam Snifferの監視によると、あるユーザーがフィッシング詐欺によって73.6万ドル相当のPAAL資産を失った後、PAALの価格は1時間以内に7.96%下落しました。


この血なまぐさい教訓から見ると、フィッシング攻撃が蔓延することを許せば、暗号資産の世界はますます深刻な信頼危機に陥ることになります。

フィッシングリンクを見分ける方法、これらの簡単で実用的な方法が危機回避に役立つ

分析すると、フィッシング攻撃は非常に強い惑わしと隠蔽性を持ち、事後に被害者が暗闇に隠れた攻撃者を追跡することは非常に困難です。
広範なユーザーにとって、私たちは常にすべてのリンクに対して警戒を怠らない必要があります。そうでなければ、フィッシングリンクをクリックして相手の要求に従って操作を行うことは、取り返しのつかない災難となります。リンクがフィッシング攻撃のものであるかどうか不明な場合、以下の対策を講じて識別と防止を行うことができます：

1. リンクアドレスを確認する：フィッシングリンクは通常、実際のウェブサイトのURLを模倣しますが、注意深く確認することで微細な違いを見つけることができます。例えば、偽サイトのURLは正規のサイトとスペルが異なる場合や、似たようなドメインを使用していることがあります；
2. セキュリティ証明書の確認：ウェブサイトが有効なSSL証明書を持っているか確認します。正規のウェブサイトは安全なSSL暗号化を持ち、ブラウザのアドレスバーには「鍵」アイコンが表示されます。フィッシングサイトは通常、この安全証明書を持っていません；
3. ドメイン解析の確認：DNSクエリツールを使用してドメイン解析を確認し、ドメイン登録情報が主張されている機関と一致するか確認します；
4. 検索エンジンでの確認：検索エンジンを使ってそのリンクが主張するウェブサイトや機関を探し、公式情報と照らし合わせます；
5. 公式ウェブサイトに直接アクセスする：フィッシングリンクの疑いがある場合は、リンクをクリックするのではなく、公式ウェブサイトのアドレスを直接入力してアクセスします；
6. 公式に確認する：疑わしいリンクについては、公式ウェブサイトのカスタマーサービスに直接連絡して確認するのが最善です；
7. セキュリティ意識の向上：ユーザーは常に高いセキュリティ意識を持ち、出所不明のリンクをクリックせず、個人の秘密鍵、パスワードなどの敏感情報を安易に提供しないようにします；
8. セキュリティソフトの使用：専門のネットワークセキュリティソフトをインストールして使用し、これらのソフトウェアはフィッシングサイトを検出し、ブロックすることができます。
   これらの方法を通じて、暗号資産のユーザーはフィッシング攻撃に遭うリスクを大幅に減少させ、自身の資産の安全を守ることができます。同時に、多くのプロジェクト開発者もネットワークセキュリティ教育に積極的に関心を持ち、自身のネットワークセキュリティリテラシーを向上させる必要があります。