ウォレットアドレスをコピーする際にクリップボードマルウェアを回避する方法

クリップボードのマルウェアの仕組みを理解する

1. クリップボード マルウェアは、オペレーティング システムのクリップボード サービスに自身を挿入し、イーサリアムや Bitcoin アドレス形式などの特定のパターンを監視することによって動作します。

2. ウォレットのアドレスがコピーされると、悪意のあるプロセスは、元のアドレスを視覚的に模倣した、事前に計算された攻撃者が制御するアドレスに置き換えます。多くの場合、検出を回避するために最初と最後の 6 文字が一致します。

3. 置換は 50 ミリ秒未満で行われるため、通常のユーザー操作中は、特に遅延の長い入力スタックを備えたデバイスでは認識できません。

4. これらのペイロードは通常、ウォレット統合を装ったブラウザ拡張機能、Android 暗号化アプリのクラックされた APK、または Telegram チャネルを通じて配布された偽の「ガス料金オプティマイザー」ツールを介して到着します。

5. 従来のトロイの木馬とは異なり、クリップボード ハイジャッカーは、ファイルの永続化やネットワーク ビーコンを使用せずに正規の OS API のみに依存するため、ウイルス対策アラートをトリガーすることはほとんどありません。

ハードウェアウォレットアドレス検証の欠陥

1. ハードウェアウォレットは受信者のアドレスをデバイス画面に表示して手動検証を可能にしますが、人間の認知限界により、42 文字のイーサリアム文字列を完全に視覚的にクロスチェックすることはできません。

2. 攻撃者は、ClipperCloud などの分散データベースを使用して衝突アドレスを生成することでこの制限を悪用し、ターゲット文字列に対して最大 25 桁の視覚的類似性を達成します。

3. 24.6.1 より前の Trezor ファームウェア バージョンでは、コントラクトのやり取りに完全なアドレスの確認が強制されておらず、トークン転送中の部分表示バイパスが許可されていました。

4. Ledger Nano S+ ユーザーは、異なる dApp 環境間でチェックサム検証に一貫性がなく、特定の MetaMask 構成で小文字のみのアドレス スプーフィングを許可していることを観察しました。

5. KeepKey ファームウェア v9.3.0 では、長い ENS 名をレンダリングするときにサイレント切り捨て動作が導入され、正当な解決パスと悪意のある解決パスの間にあいまいさが生じました。

Android 固有のクリップボードの脆弱性

1. Android の ClipboardManager API は、ACCESS_CLIPBOARD 権限を保持するアプリに読み取り/書き込みアクセスを許可します。Android 14 までは実行時の同意プロンプトが導入されませんでした。

2. サードパーティのキーボード アプリは、「テキスト予測」を装って頻繁にクリップボード アクセスを要求し、トランザクション設定中に貼り付けられたウォレット アドレスを秘密裏に収集することができます。

3. LineageOS 21 に基づくカスタム ROM では、公式 Pixel ビルドに存在するクリップボード暗号化パッチが省略され、クリップボードの内容は /data/system/clipboard/ プレーンテキスト ファイルで読み取れるままになります。

4. Samsung One UI 6.1 には、[設定] > [高度な機能] > [クリップボード履歴] で明示的に無効にしない限り、暗号化されていないアドレス スニペットを Samsung Cloud サーバーに送信する文書化されていないクリップボード履歴同期機能が含まれています。

5. SDK 33+ をターゲットとするアプリはマニフェストで android.permission.READ_CLIPBOARD を宣言する必要がありますが、多くの従来の暗号通貨ウォレットは実行時の正当化なしに広範な権限を保持しているため、攻撃対象領域が増加します。

従来のコピー＆ペーストに代わる安全な代替手段

1. ウォレット インターフェイスから QR コードを直接スキャンすることで、クリップボードの仲介が完全に排除されます。Trezor Suite と Exodus はどちらも、メモリを公開せずにネイティブ カメラ ベースのアドレス インポートをサポートします。

2. microSD カード転送を使用したエアギャップ署名ワークフローにより、秘密キーの操作がインターネットに接続されたデバイスから分離され、ソースでのクリップボードの傍受が防止されます。

3. Electrum の PSBT (Partially Signed Bitcoin Transaction) プロトコルを使用すると、宛先アドレスをテキスト バッファーではなく構造化されたバイナリ ペイロード内に限定しながら、オフラインで署名を生成できます。

4. 「AddressGuard」などの MetaMask Snap モジュールは、トランザクション送信前に既知のブロックチェーン エクスプローラーに対するリアルタイム チェックサム検証を実装し、ブロードキャスト前に不一致にフラグを立てます。

5. Ledger Live の「NFC 経由で送信」モードは、暗号化された短距離無線信号を使用してデバイス間のアドレスの直接ハンドオフを確立し、OS クリップボード サービスを完全にバイパスします。

よくある質問

Q: ウイルス対策ソフトウェアはクリップボードのマルウェアを検出できますか?ほとんどのシグネチャ ベースの AV エンジンは、実行可能ファイルの書き込みやレジストリ エントリの変更を行わないため、クリップボード ハイジャッカーを識別できません。 Malwarebytes Premium や Bitdefender GravityZone などの動作分析ツールは、異常なクリップボード ポーリング間隔をフラグできますが、手動ルール構成が必要です。

Q: クリップボードの履歴をクリアするとアドレスの盗難を防ぐことができますか?クリップボード履歴をクリアすると、システム UI に表示されるエントリのみが削除され、メモリに常駐するマルウェア フックは削除されません。アドレスは、再起動するかアクティブなプロセスが終了するまで、悪意のあるプロセスからアクセス可能なままになります。

Q: iOS デバイスはクリップボード攻撃に対して耐性がありますか? iOS では、クリップボードへのアクセスがフォアグラウンド アプリのみに制限されているため、Android と比較してリスクが軽減されます。ただし、Apple の App Store レビュー ガイドラインを通じて承認された Safari 拡張機能は、iOS 16.4 以降、ペーストボード API を悪用してイーサリアム アドレスを傍受することに成功しています。

Q: ハードウェア ウォレットのファームウェアのアップデートにより、EthClipper スタイルの攻撃が完全に軽減されますか?ファームウェア パッチは既知の悪用ベクトルに対処しますが、人間による基本的な検証の制限を排除することはできません。攻撃者は、更新されたチェックサム スキームと表示制約に一致するように衝突アルゴリズムを継続的に適応させます。