暗号化世界におけるフィッシング攻撃の産業化

2024年6月以来、セキュリティチームは大量の類似のフィッシング取引を監視しており、6月だけで関与した金額は5500万ドルを超えています。8月、9月に入ると、関連するフィッシング活動はさらに頻繁になり、ますます激化しています。2024年の第3四半期全体では、フィッシング攻撃が最も多くの経済的損失を引き起こす手段となり、65回の攻撃行動で2.43億ドル以上を獲得しました。分析によると、最近頻発しているフィッシング攻撃は、悪名高いフィッシングツールチームに関連している可能性が高いです。このチームは2023年末に「引退」を発表しましたが、現在再び活発になり、大規模な攻撃を一連に引き起こしています。

この記事では、典型的なフィッシング攻撃グループの手口を分析し、その行動特性を詳細に列挙します。これにより、ユーザーがフィッシング詐欺の認識と防止能力を向上させることを目的としています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceとは

暗号化の世界では、一部のフィッシングチームが「Scam-as-a-Service」（詐欺即サービス）と呼ばれる新しい悪意のあるモデルを発明しました。このモデルは、詐欺ツールとサービスをパッケージ化し、商品化の形で他の犯罪者に提供します。ある有名なフィッシングツールチームはこの分野の典型的な代表であり、2022年11月から2023年11月の間にサービスを初めて閉鎖すると発表した際、彼らの詐欺額は8000万ドルを超えました。

そのチームは、買い手に対して既製のフィッシングツールとインフラを提供することで、フィッシングウェブサイトの前後端、スマートコントラクト、そしてソーシャルメディアアカウントを含め、迅速に攻撃を開始する手助けをしています。サービスを購入したフィッシング攻撃者は、ほとんどの不正利益を保持でき、サービス提供者は10%-20%の手数料を徴収します。このモデルは詐欺の技術的ハードルを大幅に低下させ、ネット犯罪をより効率的かつ大規模にすることを可能にし、フィッシング攻撃が暗号業界で氾濫する原因となっています。特に、セキュリティ意識が欠如しているユーザーが攻撃対象になりやすくなっています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceの仕組み

SaaSを紹介する前に、典型的な分散型アプリケーション（DApp）のワークフローを理解しましょう。典型的なDAppは通常、フロントエンドインターフェース（Webページやモバイルアプリなど）とブロックチェーン上のスマートコントラクトで構成されています。ユーザーはブロックチェーンウォレットを通じてDAppのフロントエンドインターフェースに接続し、フロントエンドページが対応するブロックチェーントランザクションを生成し、それをユーザーのウォレットに送信します。ユーザーはその後、ブロックチェーンウォレットを使用してこのトランザクションに署名承認を行い、署名が完了すると、トランザクションはブロックチェーンネットワークに送信され、必要な機能を実行するために対応するスマートコントラクトが呼び出されます。

フィッシング攻撃者は、悪意のあるフロントエンドインターフェースとスマートコントラクトを設計することで、巧妙にユーザーを不安全な操作に誘導します。攻撃者は通常、ユーザーに悪意のあるリンクやボタンをクリックさせることで、隠された悪意のある取引を承認させるよう騙し、場合によってはユーザーに自分の秘密鍵を直接漏洩させることさえあります。ユーザーがこれらの悪意のある取引に署名したり、秘密鍵を露出させたりすると、攻撃者は簡単にユーザーの資産を自分のアカウントに移転することができます。

以下は最も一般的な手段です：

1. 有名なプロジェクトのフロントエンドを偽造：攻撃者は有名なプロジェクトの公式ウェブサイトを巧妙に模倣し、一見合法的なフロントエンドインターフェースを作成します。これにより、ユーザーは信頼できるプロジェクトとやり取りしていると誤解し、警戒心を緩めてウォレットを接続し、安全でない操作を実行します。

2. トークンエアドロップ詐欺：彼らはソーシャルメディアでフィッシングサイトを大々的に宣伝し、"無料エアドロップ"、"早期プレセール"、"無料NFTミント"などの非常に魅力的な機会を主張し、犠牲者をリンクをクリックさせるよう誘導します。犠牲者はフィッシングサイトに引き寄せられると、無意識のうちにウォレットを接続し、悪意のある取引を承認してしまうことがよくあります。

3. 偽のハッカー事件と報酬詐欺：ネット犯罪者は、ある有名なプロジェクトがハッカー攻撃や資産凍結に遭遇したと主張し、現在ユーザーに補償や報酬を支給していると告げます。彼らはこれらの偽の緊急事態を利用してユーザーをフィッシングサイトに誘導し、ウォレットを接続させることで、最終的にユーザーの資金を盗みます。

フィッシング詐欺は新しい手段ではありませんが、SaaSモデルはここ2年間、フィッシング詐欺が激化する最大の推進力です。SaaSツール提供者はフィッシング詐欺の技術的ハードルを完全に排除し、相応の技術を持たない買い手にフィッシングサイトの作成とホスティングサービスを提供し、詐欺から得た利益を抽出しています。

SaaSプロバイダーとバイヤーの分け前の方法

2024年5月21日、ある有名なフィッシングツール提供者がetherscan上で署名検証メッセージを公開し、復帰を宣言し、新しいDiscordチャンネルを作成しました。

私たちは、あるアドレスで多数の類似パターンの取引が行われていることを発見しました。分析と調査の結果、これらの取引は、ツールプロバイダーが被害者が引っかかったことを検知した後に資金を移転し、分配するための取引であると考えています。このアドレスで行われた取引の一例を挙げます：

1. ツールプロバイダーはCREATE2を使用して契約を作成します。CREATE2はイーサリアム仮想マシン内の命令で、スマートコントラクトを作成するために使用されます。ツールプロバイダーはCREATE2命令の特性を利用して、フィッシングサービスの購入者のために事前に分配契約のアドレスを計算し、被害者が引っかかった後に分配契約を作成し、トークンの移転と分配操作を完了します。

2. 作成した契約を呼び出し、被害者のトークンをフィッシングアドレス（サービスの購入者）と分配アドレスに承認します。攻撃者は様々なフィッシング手段を用いて、被害者が無意識に悪意のあるPermit2メッセージに署名するように誘導します。Permit2は、ユーザーが署名を通じてトークンの移転を承認できるようにし、ウォレットと直接やり取りする必要がありません。

3. 二つの分配アドレスに順番に一定量のトークンを転送し、残りのトークンを購入者に転送して分配を完了します。

注目すべきは、現在多くのブロックチェーンウォレットがフィッシング対策や類似の機能を実現していることですが、多くのウォレットのフィッシング対策機能はドメインやブロックチェーンアドレスのブラックリスト方式で実現されています。ツール提供者は分配前に契約を作成することで、ある程度これらのフィッシング対策機能を回避し、さらに被害者の警戒心を低下させることができます。この取引では、フィッシングサービスを購入した買い手が82.5%の不正資金を持ち去り、ツール提供者が17.5%を保持しました。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

フィッシングサイトを作成するための簡単なステップ

SaaSの助けを借りて、攻撃者がフィッシングサイトを作成することが非常に簡単になります：

1. ツールプロバイダーの通信チャンネルに入ると、簡単なコマンドで無料のドメイン名とそれに対応するIPアドレスを作成できます。

2. 提供された数百種類のテンプレートから1つを選択し、インストールプロセスに進むと、数分後には見栄えのするフィッシングサイトを作成できます。

3. 被害者を探す。一旦被害者がそのウェブサイトにアクセスし、ページ上の詐欺情報を信じ、ウォレットを接続して悪意のある取引を承認すると、被害者の資産は転送されます。

攻撃者はSaaSの助けを借りて、わずか数分でこの3つのステップを完了し、フィッシングサイトを作成することができます。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

まとめと示唆

某有名なフィッシングツール提供者の復帰は、業界のユーザーに大きなセキュリティリスクをもたらすことは間違いありません。その強力な機能と隠れた攻撃手段、さらに非常に低い犯罪コストにより、サイバー犯罪者がフィッシング攻撃や資金盗窃を実行するための最優先ツールの1つとなっています。

ユーザーは暗号化通貨の取引に参加する際、常に警戒を怠らず、以下のポイントを忘れないようにする必要があります：

• 天には無料のランチはない：疑わしい無料エアドロップや補償などの"天からの饅頭"の宣伝を信じないでください。公式ウェブサイトや専門的な監査サービスを受けたプロジェクトのみを信頼してください。
• ネットワーク接続を常に確認する：どのウェブサイトでウォレットを接続する前に、URLが有名なプロジェクトを模倣しているかどうかを注意深く確認し、できるだけWHOISドメイン検索ツールを使用して、その登録時間を確認してください。登録時間が短すぎるウェブサイトは詐欺プロジェクトである可能性が高いです。
• プライバシー情報の保護：疑わしいウェブサイトやアプリに自分のリカバリーフレーズやプライベートキーを提出しないでください。ウォレットがメッセージに署名するよう要求したり、取引を承認する前に、その取引が資金の損失を引き起こす可能性のあるPermitまたはApprove取引であるかどうかを慎重に確認してください。
• 詐欺情報の更新に注意：定期的に警告情報を発信する公式のソーシャルメディアアカウントをフォローしてください。詐欺的なアドレスにトークンを誤って許可してしまった場合は、すぐに許可を取り消すか、残りの資産を他の安全なアドレスに移してください。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化