偽サポート担当者：なりすまし業者がTronユーザーからウォレットを奪い取る手口

CoinsDoのCoinWalletチームを名乗るフィッシングメッセージが一斉に送り付けられました。ブランド表記は本家に近く、口調もそれらしく、語られる話もありふれたものでした。つまり「入金が保留になっている」「ウォレットの認証が必要です」といった内容です。あるキャンペーンでは、保留中の取引に認証が必要だと告げ、解放のための支払いへと誘導しました。別の手口では、ウォレットの認証情報を窃取するクローンサイトへ誘導するものもありました。

この攻撃では、スマートコントラクトは一切関与していません。承認の署名はなく、鍵が破られたわけでも、サイトが侵害されたわけでもありません。偽サポート担当者は、まさにそういう作りで動いています。攻撃の本体は「会話」であり、会話こそウォレットが決して防御できない唯一の侵入面なのです。

セルフカストディにはサポート窓口がない――その空白を偽サポート担当者が埋める

こうした被害はつい「ユーザー教育の失敗」だと言いたくなります。しかし実態は、プロダクト側の空白に近いものです。

銀行カードが止まれば、裏面に記載された電話番号にかけられます。ウォレットに問題が起きたときにあるのは、TelegramグループとDiscord、そしてsubreddit程度で、そこにいる誰ひとり、あなたの資産に対する権限を持っていません。セルフカストディは意図的に仲介者を排除しており、その過程でヘルプデスクも一緒に失われているのです。

そのため、TRX送金が止まった、入金がいつまでも届かないといった質問をユーザーが公開の場に投稿すると、そこには「空席」が生まれます。1時間もしないうちに誰かがその席を埋めるでしょう。詐欺師が突いているのは無知ではありません。誰も答えようとしなかったサポート要求に、彼らは答えているだけです。まさにその理由から、この手口は経験豊富なユーザーにも通用します。

偽サポート担当者との会話がどのように進むか

内容よりもテンポが重要で、会話は3つの楽章のように進行します。

始まりは有能さのアピールです。正確な用語、落ち着いた物言い、それらしいプロフィール、そしてあなたが投稿した内容への具体的な言及。多くの場合、最初に小さな問題を解決してくれたり、正確な説明をしてくれたりもします。最初のやり取りの目的は、「自分より詳しい人間と話している」という認識を確立することだけだからです。

そして話が転じます。あなたのウォレットにフラグが立った。コンプライアンス審査が保留中だ。取引が中間状態で止まっており、期限を過ぎると失敗する。細部はのでっち上げですが、その構図は、実際の金融機関とやり取りした経験のある人なら誰にでも見覚えのあるものです。そこが狙いです。

最後に要求が来ます。それは常に「頼みごと」ではなく「手続き」として提示されます。アクセスを回復するためリカバリーフレーズを確認してください。この認証フォームにご記入ください。ウォレットのセキュリティ監査を実行するため、この取引に署名してください。少額の認証支払いをしていただければ、保留中の金額を解放します――。

お気づきのように、この要求は決して「盗み」には聞こえません。事務手続きのように聞こえるのです。

正当なチームが絶対に求めない3つの要求

どのプラットフォームで、どんな理由があっても、本物のサポート業務に以下の内容が含まれることは一切ありません。

シードフレーズまたは秘密鍵。スクリーンショット、一部分だけのフレーズ、数語ずつ入力させる『リカバリーフォーム』など、いかなる形式であれです。これを手にした者はウォレットを丸ごと手中に収めます。それこそがシードフレーズの存在意義なのです。

自分自身の資産を解放・認証・凍結解除するための支払い。本物の手数料は取引の中から差し引かれます。チャット画面の相手に前払いで徴収されることは決してありません。

自分が開始していない取引への署名。「ウォレットを確認するためですので、これに署名してください」は、何かを承認させる要求であり、それで承認できるのは送金か承認（approval）のどちらかだけです。

これらすべてに先行して、この手口全体を解決する質問が1つあります。あなたが相手に連絡したのか、それとも相手があなたに連絡してきたのか。公式モデレーターやサポートチームが先にダイレクトメッセージを送ることはありません。会話が相手からの着信で始まったのであれば、その後どれだけ順調に進んだとしても、その時点で終わりです。

逆パターン――相手がウォレットを渡してくる手口

Tron特有の変種は、この詐欺を逆方向から仕掛けます。シードフレーズを絶対に共有しないタイプの人間を捉えます。本人が得をしている側だと思い込んでいるからです。

攻撃者は、情報漏えいやうっかりミスを装って、実在するシードフレーズをTelegramやWhatsAppのグループへ公開投稿します。ウォレットは本物で、目に見える形でUSDTを保有しています。インポートすれば、残高がそこに鎮座しているのが確認できます。しかし動かせません。手数料分のTRXが足りないからです。そこで少額のTRXを送ると、そのTRXは即座に消えます。

SafePalがこの仕組みを解説しています。フレーズが公開される前の時点で、ウォレットのオーナー権限は付け替えられ、署名のしきい値は2に引き上げられていました。以降の送金には、あなたの署名に加えて攻撃者の署名も必要になります。被害者にはSIGERRORが表示されるか、「このアドレスの秘密鍵はウォレット内にありません」というメッセージが出ます。資金は入っていくのに一切出ていかない。設計どおりに動いているのです。

他人から渡されたウォレットは、最初からあなたのものではありません。

すでに何かを共有してしまった場合、承認の取り消しでは救われない

Tronでの定番の助言は、トークン承認を取り消すことです。しかしこの詐欺に関しては、その助言は誤りであり、従えば肝心の数分を失うことになります。

シードフレーズや秘密鍵を明かしてしまった場合、ウォレットは根こそぎ侵害されています。そのフレーズから導出されるすべてのアドレスは、今や攻撃者のものです。承認を取り消しても何の解決にもなりません。信頼できるデバイスで新しいウォレットを作成し、金額の大きいものから順に資金を移してください。同じ残高を監視している相手との競争になっているからです。古いフレーズは、何にも再利用しないでください。

取り消しが意味を持つのは、署名したものが情報の開示ではなく取引だった場合だけです。その場合は、ウォレットを安全に確保した後に、TronScanで承認内容を確認してください。その逆ではありません。

その後、そのアカウントをプラットフォームに通報し、利用していたコミュニティチャンネルに詳細を投稿してください。これは形式的な手続きではありません。次の標的は、たいてい同じスレッドを読んでいるものです。

ルールは1つ、例外なし

ここにパッチを当てるべき脆弱性も、被害を防ぐウォレット設定もありません。攻撃は完全にチャット画面越しに進行するため、対策はウォレットのルールではなく、チャット画面についてのルールでなければなりません。

私のルールは1行で、今まで例外が必要になったことはありません。『自分から連絡してきた相手には、ウォレットについて一切答えない』。このページの他の記述は、すべてその補足にすぎません。