NFT偽エアドロップはどのように機能しますか?

偽のエアドロップの仕組み

1. 攻撃者は、正規の NFT ブランドを模倣した偽造プロジェクト ドメインを展開し、多くの場合、タイポスクワッティングやサブドメイン スプーフィングを使用してユーザーを欺きます。

2. 彼らは、Discord、Twitter、および Telegram チャネル全体で、初期のサポーターまたはホワイトリスト参加者に独占的なエアドロップ資格があると主張する偽のアナウンスを公開します。

3. 被害者はフィッシング インターフェイスにリダイレクトされ、「資格の確認」または「報酬の請求」を装ってウォレットへの接続が要求されます。

4. 接続されると、悪意のあるフロントエンド コードが、無制限の NFT 転送権を求めるサイレント承認リクエスト (多くの場合、日常的な許可として偽装) をトリガーします。

5. 承認後、攻撃者は被害者のウォレット上で直接transferFrom関数を呼び出し、リストされたすべての NFT をそれ以上の対話なしで排出します。

エアドロップ詐欺における署名の悪用

1. 偽のエアドロップ サイトは、人間が読めるテキストの代わりに難読化されたバイトコードを含むイーサリアム メッセージ署名プロンプトをユーザーに表示します。

2. 署名ペイロードには、攻撃者が制御するコントラクト アドレスが埋め込まれており、攻撃者は署名後に任意のロジックを実行できます。

3. ユーザーは、攻撃者が管理する契約に対する ERC-721 および ERC-1155 資産の完全な制御を許可する承認を無意識のうちに承認します。

4. 署名の再利用の脆弱性により、攻撃者は複数のチェーンまたはコントラクト間で署名されたメッセージを再生することができ、被害範囲が拡大します。

5. 一部の亜種は、署名の欺瞞とドメイン フロントを組み合わせて、侵害された CDN からの悪意のあるコンテンツを提供しながらブラウザのアドレス バーに信頼できる送信元を表示させます。

ウォレット権限ハイジャック

1. 不正なエアドロップ ページは、 eth_requestAccountsやeth_sendTransactionなどのウォレット プロバイダー イベントを傍受する JavaScript を挿入します。

2. デフォルトの MetaMask 確認ダイアログを、「クレームの確認」や「ウォレットの確認」などの誤解を招くラベルを表示するカスタム UI でオーバーライドします。

3. その下で、これらのインターフェイスは、ブール値の true パラメーターを指定してsetApprovalForAllを呼び出すトランザクションを攻撃者が所有するオペレーターのアドレスに送信します。

4. 承認されると、攻撃者は、Bored Ape Yacht Club や CryptoPunks などの高価値コレクションをターゲットとする、バッチ処理されたsafeTransferFrom呼び出しを介して一括転送を開始します。

5. 承認段階ではガス料金は発生せず、取り返しのつかない資産損失が発生する前に被害者を誤った信頼に陥らせます。

フィッシングインフラの導入

1. 攻撃者は、同形文字を使用して公式プロジェクト URL に似たドメインを登録します (例: 「opensea[.]io」とキリル文字「а」を含む「openseа[.]io」)。

2. 即時の削除検出を回避するために、侵害された WordPress インスタンスまたは悪用されたクラウド ストレージ バケット上にランディング ページをホストします。

3. 偽のエアドロップ バナーには、カウントダウン タイマーと、社会的証明をシミュレートするためにクライアント側で生成されたライブの「成功の申請」ポップアップが表示されます。

4. バックエンドサーバーはウォレットのアドレスと署名をリアルタイムで記録し、AWS Lambda または Vercel Edge Functions で実行される自動盗難スクリプトにデータを供給します。

5. 盗まれたNFTは、流通市場で再販される前に、直ちにミキシングサービスに転送されるか、Secret Networkのようなプライバシー重視のチェーンにブリッジされます。

よくある質問と回答

Q: 偽のエアドロップを承認した後、NFT を回復できますか? A: transferFrom が実行されると回復は技術的に不可能です。ブロックチェーンの不変性は逆転を防ぎます。

Q: ハードウェア ウォレットは偽のエアドロップ署名から保護しますか? A: はい、ファームウェアが厳密なメッセージ プレビューを強制し、人間が判読できないペイロードを拒否する場合は可能ですが、多くのユーザーは検証手順をスキップします。

Q：なぜ偽のエアドロップは時価総額の低いNFTを最初に狙うのですか？ A: 小規模なプロジェクトでは、堅牢なセキュリティ監査やコミュニティの管理が不足しているため、なりすましが容易になり、迅速な詐欺アラートがトリガーされる可能性が低くなります。

Q: エアドロップ契約を確認するには、Etherscan をチェックするだけで十分ですか? A: 不十分です。攻撃者は、トランザクション履歴のない新しく作成された契約を展開し、検証された契約の ABI 構造を模倣して正当であるかのように見せかけます。