ソーシャルエンジニアリング目薬が暗号資産ユーザーを狙う：手口と防止策の解明

近年、暗号資産ユーザーを狙った社会工学的攻撃がますます横行し、資金の安全性に対する大きな脅威となっています。2025年以降、ある有名な取引プラットフォームのユーザーを対象とした社会工学的詐欺事件が多数明らかになり、広範な関心を引き起こしています。コミュニティの議論からも、このような事件は個別のケースではなく、持続的かつ組織的な特徴を持つ目薬の一種であることがわかります。

5月15日、このプラットフォームは発表を行い、内部に「内鬼」が存在するという以前の推測を確認しました。アメリカ司法省はこのデータ漏洩事件に対する調査を開始しました。

この記事では、複数のセキュリティ研究者や被害者から提供された情報を整理し、詐欺者の主な手口を明らかにし、プラットフォームとユーザーの二つの視点から対策を検討します。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にする場合

歴史の振り返り

オンチェーン探偵Zachは5月7日のソーシャルプラットフォームの更新で次のように述べました："たった一週間で、社会工学詐欺により、ある取引所のユーザーから4500万ドル以上が盗まれました。"

過去1年間、Zachはこのプラットフォームのユーザーが盗まれる事件を何度も公表しており、一部の被害者は1,000万ドル以上の損失を被っています。彼が2025年2月に発表した詳細な調査によると、2024年12月から2025年1月の間に、同様の目薬によって盗まれた資金の総額は6,500万ドルを超えています。このプラットフォームは深刻な「社会工学詐欺」の危機に直面しており、この種の攻撃は年間3億ドルの規模でユーザーの資産の安全を脅かし続けています。

ザックはまた指摘しました：

• この種の詐欺を主導するグループは主に二つのタイプに分かれます：一つは特定のサークルからの低級な攻撃者、もう一つはインドに拠点を置くサイバー犯罪組織です；
• 詐欺団体の攻撃対象は主にアメリカのユーザーであり、手口は標準化され、話し方のプロセスが成熟している；
• 実際の損失額は、入手できないカスタマーサービスのチケットや警察への報告記録などの未公開情報を含まないため、オンチェーンで見える統計よりもはるかに高い可能性があります。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

詐欺の手口

今回の事件では、プラットフォームの技術システムは攻撃されておらず、詐欺師は内部スタッフの権限を利用して、一部のユーザーのセンシティブな情報を取得しました。これらの情報には、氏名、住所、連絡先、アカウントデータ、本人確認書類の写真などが含まれます。詐欺師の最終目的は、ソーシャルエンジニアリング手法を利用してユーザーに送金させることです。

この種の攻撃方法は、従来の"撒き網式"のフィッシング手法を変え、"精密攻撃"に移行し、"特注"のソーシャルエンジニアリング詐欺と呼ぶにふさわしい。典型的な犯行の流れは以下の通りです：

1. "公式カスタマーサービス"の身分でユーザーに連絡する

詐欺師は偽の電話システムを使用してプラットフォームのカスタマーサポートを装い、ユーザーに対して「アカウントが不正アクセスされました」や「出金異常が検出されました」と電話をかけ、緊急の雰囲気を演出します。その後、彼らは偽のフィッシングメールやSMSを送信し、そこには虚偽のチケット番号や「復旧手順」リンクが含まれ、ユーザーに操作を促します。これらのリンクはクローンされたプラットフォームのインターフェースに指し示す可能性があり、さらには公式ドメインからのものであるかのように見えるメールを送信することもできます。一部のメールはリダイレクト技術を利用してセキュリティ保護を回避しています。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

2. ユーザーに新しいウォレットをダウンロードするように指導する

詐欺師は「資産を保護する」という理由でユーザーに資金を「安全なウォレット」に移すよう促し、新しいウォレットのインストールを手伝い、元々プラットフォームに保管されていた資産を新たに作成されたウォレットに移すよう指示します。

3. 詐欺師が提供する助記詞の使用をユーザーに誘導する

従来の"助記詞をだまし取る"とは異なり、詐欺師は自分たちが生成した助記詞のセットを直接提供し、ユーザーにそれを"公式の新しいウォレット"として使用するように誘導します。

4. 詐欺師は資金窃盗を実行します

被害者は緊張し、不安を抱き、"カスタマーサービス"を信頼した状態で、罠に陥りやすい。彼らにとって、"公式提供"の新しいウォレットは、"侵入された疑いのある"古いウォレットよりも安全だと考えられている。結果として、一度資金がこの新しいウォレットに移されたら、詐欺師はすぐにそれを引き出すことができる。"あなたが管理していない秘密鍵は、あなたが所有していない資産"という理念が再び血の涙をもって証明された。

さらに、一部のフィッシングメールは「集団訴訟の判決により、プラットフォームは完全に自己管理型ウォレットに移行します」と主張し、ユーザーに特定の日付までに資産移行を完了するよう求めています。ユーザーは切迫した時間的プレッシャーと「公式の指示」という心理的暗示の下で、操作に協力しやすくなります。

安全研究者によると、これらの攻撃はしばしば組織的に計画され、実施される。

• 詐欺ツールチェーンの整備：詐欺師はPBXシステムを使用して電話番号を偽造し、公式カスタマーサービスの電話を模倣します。フィッシングメールを送信する際には、特定のツールを利用して公式のメールアドレスを偽装し、"アカウント回復ガイド"を添付して送金を促します。
• 目標精度：詐欺師は特定のルートやダークウェブで購入した盗まれたユーザーデータに依存し、特定の地域のユーザーを主要なターゲットとして特定し、さらにはAIツールを利用して盗まれたデータを処理し、電話番号を分割・再構成し、バッチ生成したファイルを作成し、さらにブルートフォースソフトウェアを通じてSMS詐欺を送信します。
• 誘導プロセスが一貫している：電話、SMSからメールまで、詐欺の流れは通常シームレスで、一部のフィッシング文言には「アカウントに出金リクエストが届きました」、「パスワードがリセットされました」、「アカウントに異常なログインがあります」などが含まれ、被害者を「安全確認」させるために継続的に誘導し、最終的にウォレットの移転を完了させます。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを狙うとき

チェーン上分析

公開された詐欺者のアドレスを分析したところ、これらの詐欺者は強力なオンチェーン操作能力を持っていることがわかりました。以下はいくつかの重要な情報です：

詐欺師の攻撃対象は、ユーザーが保有するさまざまな資産に及び、これらのアドレスの活動期間は2024年12月から2025年5月に集中しています。ターゲット資産は主にBTCとETHです。BTCは現在最も主要な詐欺のターゲットであり、複数のアドレスが一度に獲得する金額は数百BTCに達し、単一の取引の価値は数百万ドルです。

資金が取得されると、詐欺者は迅速に一連の洗浄プロセスを利用して資産を交換し、移転します。主なモデルは以下の通りです：

• ETH類資産は、あるDEXを通じてDAIやUSDTに迅速に交換され、その後複数の新しいアドレスに分散移転され、一部の資産は中央集権取引所に入ります；
• BTCは主にクロスチェーンブリッジを通じてイーサリアムにクロスチェーンし、DAIまたはUSDTに交換して追跡リスクを回避します。

複数の詐欺アドレスはDAIまたはUSDTを受け取った後も"静置"状態にあり、まだ転送されていません。

資産が凍結されるリスクを避けるために、ユーザーは取引前にターゲットアドレスに対してブロックチェーン上のマネーロンダリングおよび追跡システムを使用してリスク検査を行い、潜在的な脅威を効果的に回避することをお勧めします。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

対策

プラットフォームレベル

現在の主流の安全手段は主に「技術レベル」での防護ですが、ソーシャルエンジニアリング詐欺はしばしばこれらのメカニズムを回避し、ユーザーの心理や行動の隙間を直接攻撃します。したがって、プラットフォームはユーザー教育、安全トレーニング、ユーザビリティデザインを統合し、「人に向けた」安全防衛を構築することをお勧めします。

• 定期的に詐欺防止教育コンテンツを配信：アプリのポップアップ、取引確認画面、メールなどを通じてユーザーのフィッシング対策能力を向上させる；
• リスク管理モデルを最適化し、「インタラクティブ異常行動識別」を導入：ほとんどのソーシャルエンジニアリング詐欺は、短時間でユーザーに一連の操作（例えば、送金、ホワイトリストの変更、デバイスのバインドなど）を行わせることを誘導します。プラットフォームは、行動チェーンモデルに基づいて疑わしいインタラクションの組み合わせ（例えば、「頻繁なインタラクション + 新しいアドレス + 大額の引き出し」）を識別し、クールダウン期間または手動レビュー機構をトリガーする必要があります。
• カスタマーサービスのチャネルと検証メカニズムを規定する：詐欺師はしばしばカスタマーサービスを装ってユーザーを惑わせるため、プラットフォームは統一された電話、SMS、メールテンプレートを提供し、「カスタマーサービスの検証入口」を設け、唯一の公式コミュニケーションチャネルを明確にして混乱を避けるべきである。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

ユーザーレベルでの###

• 身分分離ポリシーを実施する：複数のプラットフォームで同じメールアドレスや電話番号を共有しないようにし、関連リスクを低減する。漏洩チェックツールを使用して、定期的にメールアドレスが漏洩していないか確認することができます。
• 転送ホワイトリストと出金クールダウンメカニズムを有効化：信頼できるアドレスを事前設定し、緊急時の資金流出リスクを低減します。
• セキュリティ情報を継続的にフォローする：セキュリティ会社、メディア、取引プラットフォームなどのチャネルを通じて、攻撃手法の最新動向を把握し、警戒を維持する。
• オフラインリスクとプライバシー保護に注意：個人情報の漏洩は人身安全の問題を引き起こす可能性があります。

これは杞人の憂いではない。今年に入ってから、暗号資産の業者やユーザーは多くの人身安全に対する脅威に直面している。このたび漏洩したデータには、名前、住所、連絡先、アカウントデータ、身分証明書の写真などが含まれているため、関連するユーザーはオフラインでも警戒を強め、安全に注意する必要がある。

要するに、疑いを持ち続け、検証を続けることです。緊急の操作が関与する場合は、必ず相手に身分証明を求め、公式な手段で独立して確認し、プレッシャーの下で取り返しのつかない決定を下さないようにしてください。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

まとめ

本事件は、成熟したソーシャルエンジニアリング攻撃手法に直面して、業界が顧客データと資産保護において依然として明らかな短所を持っていることを再び露呈させました。警戒すべきは、プラットフォームの関連ポジションが資金権限を持っていなくても、十分な安全意識と能力が欠如している場合、無意識の漏洩や策反によって深刻な結果を招く可能性があることです。プラットフォームの規模が拡大するにつれて、人員の安全管理の複雑度も増し、業界で最も攻克が難しいリスクの一つとなっています。したがって、プラットフォームは、オンチェーンの安全メカニズムを強化するだけでなく、内部スタッフと外注サービスをカバーする「ソーシャルエンジニアリング防御システム」を体系的に構築し、人為的リスクを全体的な安全戦略に組み込む必要があります。

さらに、攻撃が孤立した事件ではなく、組織化され、規模のある継続的な脅威であることが判明した場合、プラットフォームは直ちに対応し、潜在的な脆弱性を積極的に調査し、ユーザーに警告し、被害の範囲を制御する必要があります。技術的および組織的な両面での二重対応があってこそ、ますます複雑化する安全環境において、信頼とボトムラインを真に守ることができます。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき