ソーシャルエンジニアリング攻撃による暗号通貨の損失を回避する方法

暗号通貨におけるソーシャル エンジニアリングを理解する

1. 暗号通貨分野におけるソーシャル エンジニアリング攻撃は、技術的な悪用ではなく、完全に人間の心理に依存しています。

2. 攻撃者は、信頼性を得るために、取引所のサポート スタッフ、プロジェクトの創設者、コミュニティのモデレーターなど、信頼できる人物になりすます。

3. これらの攻撃者は、「期間限定のエアドロップ」や「差し迫ったウォレットの停止」などの緊急性、欠乏性、権限の手がかりを悪用して、衝動的な行動を引き起こします。

4. 被害者は多くの場合、悪意のあるトランザクションに署名したり、偽のインターフェイスにシードフレーズを入力したり、不正な dApp のウォレット権限を承認したりするよう誘導されます。

5. スマート コントラクトの脆弱性とは異なり、これらの攻撃は資金が消滅するまでオンチェーンに痕跡を残さないため、フォレンジックによる回復はほぼ不可能です。

詐欺師がよく使う手口

1. Discord および Telegram のなりすまし: 偽の認証済みアカウントは、プロフィール写真、自己紹介リンク、ピン留めされたメッセージに至るまで公式ブランドを複製します。

2. 概念ベースのフィッシング キット: 不正なドキュメント サイトは、ウォレット接続ハイジャック スクリプトを埋め込みながら、正規のプロジェクト ロードマップまたはトークンノミクス ページを模倣します。

3. 「ゲームトライアル」の誘惑: ユーザーは、NFT ゲームへの早期アクセスを提案する DM を受け取り、ウォレットを偽造 Web3 ポータルに接続するよう促します。

4. ディープフェイクビデオ通話: 認証されたソーシャルメディアアカウントが、ウォレットとの即時のやり取りを必要とする緊急のプロトコルアップグレードを発表する「創設者」の短いクリップを投稿します。

5. ブラインド署名詐欺: ユーザーはだまされて、目に見える警告なしで無制限のトークン転送を許可する EIP-712 型データ メッセージに署名させられます。

ウォレットレベルの防御メカニズム

1. シード フレーズや秘密キーは、ブラウザー、ダウンロードしたアプリ、クラウド ノートなど、どこにも入力しないでください。

2. すべての重要な保有物にはハードウェア ウォレットを使用します。完了する前に、デバイス上のすべてのトランザクションを確認します。

3. MetaMask などのブラウザ拡張機能の自動署名機能を無効にします。トランザクションポップアップのすべてのパラメータを手動で確認します。

4. Rabby や WalletGuard などのツールを使用してウォレットの権限を制限し、チェーン間での不正なトークンの承認を防ぎます。

5. 個別のシードフレーズを使用し、相互リンクを行わずに、個別のウォレット (1 つは毎日のガス料金用、もう 1 つは長期保管用) を維持します。

コミュニティとコミュニケーションの保護措置

1. GitHub リポジトリ、ドメイン DNS レコード、ブロックチェーン契約アドレスなど、複数の独立したソースを通じて公式の通信チャネルを検証します。

2. 既知の連絡先から送信されているように見える場合でも、一方的な DM をデフォルトで敵対的なものとして扱い、プラットフォーム メッセージングの外部で音声またはビデオ通話を介してクロスチェックします。

3. ブラウザに直接入力されたプライマリ ドメインのみをブックマークします。ソーシャル メディアの投稿や電子メール通知のリンクをクリックしないでください。

4. 可能な場合はハードウェア セキュリティ キーを使用して、電子メール、クラウド ストレージ、Exchange ログインなど、関連するすべてのアカウントで 2 要素認証を有効にします。

5. 疑わしいアカウントを直ちに報告し、検証済みの連絡プロトコルを新しいメンバーと共有することで、コミュニティのモデレーション活動に参加します。

よくある質問

Q1: ハードウェア ウォレットはソーシャル エンジニアリングを通じて侵害される可能性がありますか?はい - ユーザーがデバイス画面に表示された悪意のあるトランザクションに署名することを確信している場合。ハードウェアウォレット自体は安全なままですが、人間の同意があれば資金移動が可能になります。

Q2: マルチシグウォレットはソーシャルエンジニアリングの影響を受けませんか?いいえ、攻撃者が欺瞞、強制、または資格情報の盗難を通じて十分な数の署名者から署名を取得した場合でも、マルチシグのしきい値は満たされ、資金が移動される可能性があります。

Q3: ブラウザ拡張機能ウォレットは危険な dApp 接続についてユーザーに警告しますか?ほとんどは状況に応じたリスク評価を提供しません。これらは、dApp にフィッシングまたは悪意のある動作のフラグが設定されているかどうかを示さず、接続の承認を求めるだけです。

Q4: Telegram グループで推奨されているウォレット接続型 DeFi プラットフォームを使用しても安全ですか?いいえ、検証されていない推奨事項には高いリスクが伴います。正当に見える UI を備えたプラットフォームであっても、残高を黙って枯渇させる悪意のあるプロキシ コントラクトを通じてトランザクションをルーティングする可能性があります。