暗号化の世界におけるフィッシング攻撃の産業化

2024年6月以来、一連の類似したフィッシング攻撃事件がセキュリティ専門家の注意を引いています。6月だけで、関連する攻撃による損失は5500万ドルを超えました。時間が経つにつれて、このような攻撃はますます激化し、8月と9月にはさらに頻繁に発生しました。2024年第三四半期には、フィッシング攻撃が最大の経済的損失を引き起こす攻撃手段となり、65回の攻撃行動が合計で2.43億ドル以上の損失をもたらしました。分析によると、これらの攻撃は悪名高いフィッシングツールチームInferno Drainerに関連している可能性が高いです。このチームは2023年末に「引退」を発表しましたが、現在は再び活動を再開し、大規模な攻撃を仕掛けているようです。

この記事では、Inferno DrainerやNova Drainerなどのフィッシンググループの典型的な手口を深く分析し、その行動特性を詳しく紹介することで、ユーザーがフィッシング詐欺の識別と防止能力を向上させるのに役立つことを目的としています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceの登場

暗号化通貨の世界では、新しいタイプの悪質なビジネスモデルが登場しています。それはScam-as-a-Service（詐欺即サービス）と呼ばれています。このモデルは、詐欺のツールやサービスをパッケージ化し、商品化された形で他の犯罪者に提供します。Inferno Drainerはこの分野の代表的なチームで、2022年11月から2023年11月の間に、その詐欺額は8000万ドルを超えました。

Inferno Drainerは、購入者に現成のフィッシングツールとインフラを提供することによって、フィッシングサイトの前後端、スマートコントラクト、ソーシャルメディアアカウントを含む、迅速な攻撃を開始する手助けをします。サービスを購入したフィッシング業者は、ほとんどの不正資金を保持でき、Inferno Drainerは10%-20%の手数料を徴収します。このモデルは詐欺の技術的ハードルを大幅に下げ、ネット犯罪をより効率的かつ大規模にし、特にセキュリティ意識が欠如しているユーザーが攻撃の標的になりやすい状況を引き起こしています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceの仕組みは?

Scam-as-a-Serviceの運用方法を理解するために、まずは典型的な分散型アプリケーション（DApp）の作業フローについて理解しましょう。典型的なDAppは通常、フロントエンドインターフェース（Webページやモバイルアプリなど）とブロックチェーン上のスマートコントラクトで構成されています。ユーザーはブロックチェーンウォレットを通じてDAppのフロントエンドインターフェースに接続し、フロントエンドページは対応するブロックチェーン取引を生成し、それをユーザーのウォレットに送信します。ユーザーはその後、ブロックチェーンウォレットを使用してこの取引に署名し承認し、署名が完了すると、取引はブロックチェーンネットワークに送信され、必要な機能を実行するために対応するスマートコントラクトが呼び出されます。

フィッシング攻撃者は、悪意のあるフロントエンドインターフェースとスマートコントラクトを設計することによって、巧妙にユーザーに安全でない操作を実行させます。彼らは通常、ユーザーに悪意のあるリンクやボタンをクリックさせ、隠された悪意のある取引を承認させるように騙します。場合によっては、ユーザーに私鍵を直接漏洩させるように誘惑することもあります。ユーザーがこれらの悪意のある取引に署名したり、私鍵を暴露したりすると、攻撃者は簡単にユーザーの資産を自分のアカウントに移動させることができます。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

一般的なフィッシング手法には次のものが含まれます：

1. 有名なプロジェクトのフロントエンドを偽造する：攻撃者は有名なプロジェクトの公式ウェブサイトを巧妙に模倣し、一見合法的なフロントエンドインターフェースを作成し、ユーザーに信頼できるプロジェクトとやり取りしていると誤解させます。

2. トークンエアドロップ詐欺：攻撃者はソーシャルメディアで「無料エアドロップ」、「早期プレセール」、「無料NFTミント」など非常に魅力的な機会を大々的に宣伝し、犠牲者をリンクをクリックさせてウォレットを接続させる。

3. 偽のハッキング事件と報酬詐欺：犯罪者は某有名プロジェクトがハッキング攻撃を受けたか、資産が凍結されていると主張し、ユーザーに補償や報酬を提供しているとし、ユーザーをフィッシングサイトに誘導しています。

Scam-as-a-Serviceモデルは、フィッシング詐欺の技術的なハードルを大幅に下げました。それ以前は、攻撃者は攻撃を行うたびに、オンチェーンのスタートアップ資金を準備し、フロントエンドのウェブサイトやスマートコントラクトを作成する必要がありました。多くのフィッシングサイトは粗悪なものでしたが、ウェブサイトの運営やページデザインには一定の技術能力が必要でした。Inferno DrainerなどのScam-as-a-Serviceツールプロバイダーは、これらの技術的障壁を完全に取り除き、相応のスキルを欠く購入者にフィッシングサイトの作成とホスティングサービスを提供し、詐欺による利益から手数料を取ります。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Inferno Drainerの復活と戦利品共有の仕組み

2024年5月21日、Inferno Drainerはetherscan上で署名検証メッセージを公開し、復帰を宣言し、新しいDiscordチャンネルを作成しました。彼らが使用した主要なフィッシングアドレスの一つは0x0000db5c8b030ae20308ac975898e09741e70000です。

このアドレスの取引を分析することで、Inferno Drainerの分配メカニズムを理解することができます：

1. Inferno DrainerはCREATE2を使用して契約を作成します。CREATE2はEthereum仮想マシンの命令で、スマートコントラクトを作成するためのものです。これは、スマートコントラクトのバイトコードと固定のsaltに基づいて、契約のアドレスを事前に計算することを可能にします。Inferno Drainerはこの特性を利用して、フィッシングサービスの購入者のために、分配契約のアドレスを事前に計算し、被害者が引っかかった後に契約を作成して、トークンの移転と分配操作を完了させます。

2. 作成した契約を呼び出し、被害者のトークンをフィッシングアドレス（Inferno Drainerサービスの購入者）と分配アドレスに承認します。攻撃者はさまざまなフィッシング手段を使用して、被害者が意図せず悪意のあるPermit2メッセージに署名するように誘導しました。Permit2は、ユーザーがサインによってトークンの移転を承認できるようにし、ウォレットと直接やり取りする必要がありません。

3. 分配されたトークンを分配アドレスと購入者に適切な比率で転送し、分配を完了します。具体的なケースでは、購入者は82.5%の不正利益を獲得し、Inferno Drainerは17.5%を保持しました。

注目すべきは、Inferno Drainerが分配前に契約を作成する方法を通じて、ある程度は一部のウォレットのフィッシング防止機能を回避できるため、被害者の警戒心をさらに低下させることができるということです。被害者が悪意のある取引を承認する際には、その契約はまだ作成されていないため、そのアドレスを分析して調査することもできません。

フィッシングサイトを作成するための簡単なステップ

Scam-as-a-Serviceの助けを借りて、攻撃者はフィッシングサイトを作成することが非常に簡単になりました：

1. Drainerが提供するTelegramチャンネルに入ると、簡単なコマンドで無料のドメイン名と対応するIPアドレスを作成できます。

2. ロボットが提供する数百種類のテンプレートから1つを選択すると、数分後にはプロフェッショナルに見えるフィッシングサイトが生成されます。

3. 被害者を探す。誰かがウェブサイトにアクセスし、ウォレットを接続して悪意のある取引を承認すると、被害者の資産が移転されます。

全体のプロセスは数分で完了し、犯罪コストと技術的なハードルが大幅に削減されました。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

まとめと防止策の提案

Inferno Drainerの帰還は暗号化通貨ユーザーにとって巨大な安全リスクをもたらしました。ユーザーは暗号化通貨取引に参加する際、常に警戒を怠らず、以下の点を忘れないようにする必要があります：

• どんな "天から降ってきた饅頭" の宣伝も信じないでください。例えば、疑わしい無料エアドロップや補償などです。公式ウェブサイトや専門的な監査サービスを受けたプロジェクトのみを信頼してください。
• ウォレットを接続する前にURLを注意深く確認し、有名プロジェクトのウェブサイトの偽造に警戒してください。WHOISドメイン検索ツールを使用してウェブサイトの登録日時を確認できます。登録日時が短すぎるウェブサイトは詐欺プロジェクトの可能性が高いです。
• 疑わしいウェブサイトやアプリに対して、助記詞や秘密鍵を提出しないでください。ウォレットがメッセージに署名するよう要求したり、取引を承認する前に、PermitやApproveなどの資金損失を引き起こす可能性のある操作が含まれていないかを慎重に確認してください。
• 安全警告情報に注意してください。詐欺アドレスにトークンを誤って許可した場合は、すぐに許可を撤回するか、残りの資産を他の安全なアドレスに移動してください。

ユーザーは、セキュリティ意識を高め、必要な予防措置を講じることで、ますます複雑化するフィッシング攻撃から自分自身をより良く保護できます。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化