【必読】偽サイトと詐欺師の恐るべきだまし方と対策5選
こんにちは、JGG初心者サポーターの kei (jpn) です。
今回は、仮想通貨に関連した詐欺の手法や「だまし方」の例をご紹介します。仮想通貨に触れていれば、いつかは遭遇するおそれのあるものばかりです。
遭遇する前に、詐欺例を知ると知らないとでは大きな差が生まれますので、ぜひご覧ください。
メモ：
詐欺のことをScam（スキャム）、詐欺師をScammer（スキャマー）とも言います事例1．なりすまし
「他の誰かになりすまして詐欺を行う」ことは、詐欺の入り口としてよく見かけます。
- 偽のツイッターアカウントになります
- 偽のサポートチームになりすます
- 偽の運営になりすます など
偽アカウントはあらゆる手を使い、あなたから資金を送らせたり、盗もうと試みます。
- 偽サイト、フィッシングサイトに誘導する
- もっともらしい理由を付けて資金を送らせようとする
- ウィルス入りのzipファイルを送信し開かせようとする
- 時間制限を付けて焦らせる など
なりすまし単体で引っかかる人はなかなかいませんが、「応募したことのあるキャンペーンの当選連絡だった」など見に覚えのある内容だった場合、警戒心が薄れるケースがあります。詐欺師もそういった「そろそろ当選連絡が始まるであろう時期」を狙うことが多々あります。
考えられる対策としては次のとおりです。
- 名前やアイコンで判断せず、IDが正しいか、1文字違いでないか、公式とは別のアカウントでないか確実にチェックする。l（L）とI（i）でIDを似せてくることも。
- そもそも運営が自分にメッセージを送る必要があるのか常に疑いを持つ
- 設定でDM（ダイレクトメッセージ）を受信拒否しておく
ミニコラム：検索サイト経由の危険性
Goole検索などでは、検索結果に公式サイトを偽装したフィッシングサイトが出てくることがあります。「広告表示」は特に偽サイトである危険性が高いので、そもそも検索からサイトを探さないことをおすすめします。公式SNSアカウントや信頼度の高い情報を経由し正しいサイトをブックマークしましょう。事例2．アカウント乗っ取り
まれに運営のツイッターアカウントやDiscordアカウントが乗っ取られることがあります。
この場合はツイッターIDを見てもDiscordアカウントを見ても運営の物で間違いないため、ますます警戒を怠りがちです。
偽物が乗っ取ったアカウントは、とつぜん限定セールを始めたり、フィッシングサイトへ誘導したり、あらゆる手であなたから秘密鍵を聞き出したり、資金を送らせようと試みます。
考えられる対策としては次のとおりです。
- どんな状況でも他人に秘密鍵・ニーモニック・シードフレーズを教えることはあり得ないと心得る
- 「時間限定/数量限定のセール」など急がせる内容ほど疑ってかかる
- SNSやアナウンスで乗っ取り被害報告がないかチェックする
- 運営が誘導するURLは正しいか、実行するApproveは本当に大丈夫か疑う（つぎで解説）
事例3．Approve詐欺
普段からよく使う「Approve操作」ですが、なりすましと組み合わせて使われることがあります。※日本語版メタマスクの場合は「確認」ボタンがApproveです
特定のトークンやNFTを受け取るためのApprove操作だと思ったら、じつは「残高を抜き取る」ためのApprove操作だった、といった事例があります。
Get Japan Gaming Guild’s stories in your inbox
Join Medium for free to get updates from this writer.
考えられる対策としては次のとおりです。
- Approveの承認内容を確認する
- 知らないトークンやNFTはApproveしない、触らない
- 自信のもてないApproveをしたならRevoke（取消）するか、ウォレットを破棄して違うウォレットに変える
Approve詐欺についてはこちらの記事もご覧ください＞【詐欺に注意】その「Approve」本当に大丈夫？
事例4．相対取引
Openseaなどの実績あるマーケットを使わず、わざわざ相対取引（直接取引）を持ちかけてくるのは、とても危険な誘いです。
取引サイトを通したくない、後ろめたい理由があると疑うべきです。絶対に応じないことをおすすめします。
FIREMONSTERさんが被害に遭った例をご紹介します。正常な相対取引だと思ったら、テストネットのETH（無価値なテスト用トークン）が送られてきたそうです。ご本人が経緯を解説しています。
事例5．DNS乗っ取り
2021年に、Swapサイトで「URLが合っているのに偽サイトに繋がる」事例が発生しました。これは仮想通貨に限ったことではなく、ネットに繋がっている限りありえる攻撃です。
詳細はニナさんの記事が参考になります＞【DNSって？】DNSハイジャックとキャッシュポイズニングについて調べてみた【サイバー攻撃】
考えられる対策は次のとおりです。
- 正しいURLであっても秘密鍵・ニーモニック・シードフレーズを入力することはあり得ないと知る
- 不審に思ったらSNSなどで最新情報をチェックする
番外編．ラグプル
ラグプル（Rug-pull）とは、仮想通貨を預けていたサイトが突如閉鎖したり流動性がすべて抜かれるなどして、資金を持ち去られる行為のことを言います。
運営が悪意を持ってラグプルするケースもあれば、悪意のあるなしにかかわらず外部からの攻撃で資金を持ち去られるケースもあります（自作自演かそうでないか真実は分かりません）。
運営がラグプルしそうかどうかを判断することは困難です。大手のVC（ベンチャーキャピタル）が入っているかどうか、運営の存在確認が取れているかなど、リスクを判断するポイントは無数にあります。
常に「プロジェクトがラグる可能性はどれほどあるだろうか？」を考慮して参入する金額を決める必要があります。
- 「絶対安全」は存在しないという前提を持つ
- 参入する場合はリスクとリターンを熟慮する
気をつけるのは詐欺だけじゃない
今回ご紹介したのは、あくまで「悪意のある人物が、あなたに接触してくるケース」です。ほかにも、自分自身のミスでうっかり資金を失うリスクなどがあります。
・秘密鍵やニーモニックフレーズを紛失した
・アカウントが乗っ取られクラウドに保存していた秘密鍵が流出した など「ブラックスワン」を忘れないこと
ブラックスワンとは、「これまで誰も予想できなかった出来事」を指します。
たとえば大規模なハッキングやエクスプロイト攻撃が起きたとき、多くの人は「まさか、こんな手があったとは！」と目を疑います。そして多くの場合、悲劇が起きてからでは手遅れです。
DeFi、NFT、BCG、GameFiといったジャンルはまだ登場して数年ぽっちです。日進月歩でテクノロジーが進んでいることは、大きなチャンスがあると同時に、バグや脆弱性と常に隣り合わせでもあります。
予想できないとはいえ、ブラックスワンをできるだけ考慮した対策は次のようなものが考えられます。
- 許容リスクを超える投資は行わない
- 利益はこまめに換金して持ち帰る
- 資産を1つのウォレットに集中せず分散する（投資の格言：卵を1つのカゴに盛らない） など
万が一のことが起きたとき、最終的に被害をこうむるのはあなた自身です。どうかこのことを忘れず、リスクとリターンをつねに比較しながら楽しく取り組みましょう！
JGG公式リンク
ご注意：掲載するすべての内容は投資助言ではなく、また投資を勧めるものではありません。Not financial advice.
