偽のエアドロップとプレゼント詐欺：仮想通貨資金を安全に保つ方法

偽のエアドロップや仮想通貨プレゼント詐欺が成功するのは、プロジェクトが実際にトークンを配布したり、初期ユーザーに報酬を与えたり、コミュニティキャンペーンを実施したり、プロモーションを発表したりするなど、正当な行為を模倣しているからです。安全な解決策は、あらゆるプロモーションを疑うことではありません。ウォレット、認証情報、資金を危険にさらす可能性のある要求と、もっともらしいオファーを区別できる、再現性のある検証プロセスを構築することです。

優れたセキュリティプロセスは、以下の3つの結果をもたらすはずです。第一に、オファーが公式チャネルを通じて独自に検証可能かどうかを判断できること。第二に、承認を行う前に、ウォレットが何に署名または承認を求められているのかを正確に理解できること。第三に、既に問題が発生している場合は、状況を悪化させることなく、何を保護、記録、取り消し、報告すべきかを把握できること。

偽のエアドロップやプレゼント詐欺は、あなたに何をさせようとしているのか？

表向きのストーリーは様々だが、最終的な目的は通常単純だ。つまり、仮想通貨を送金させたり、リカバリーフレーズや秘密鍵を漏らさせたり、悪意のあるメッセージに署名させたり、ウォレットからトークンを移動できるスマートコントラクトを承認させたりすることだ。

連邦取引委員会（FTC）は、詐欺師がしばしば無料の現金、賞品、または異常に高額な報酬を約束することで、被害者の焦りを煽り、疑念を抱かせないように警告しています。また、予期せぬリンクをクリックしないよう注意を促し、正当な賞品は先に送金を要求するものではないと指摘しています。仮想通貨詐欺、偽の賞品および懸賞詐欺に関するFTCのガイダンスを参照してください。

Web3では、要求は「仮想通貨を送ってくれれば、もっと送り返します」といった単純なものではありません。偽の請求サイトは、ウォレットを接続して、一見普通の取引に見えるものを承認するように求める場合があります。MetaMaskの公式ドキュメントでは、トークンの承認によって、分散型アプリケーションがユーザーに代わって特定のトークンを移動させる権限を与えられること、そして悪意のある承認では、過剰な、あるいは事実上無制限のアクセスを要求する可能性があることが説明されています。MetaMaskの安全に関するガイダンスでは、偽のエアドロップがフィッシングや悪質な承認の一般的な誘い文句であると説明されています。トークンの承認とWeb3の安全性に関するMetaMaskの説明を参照してください。

検証プロセスが成功すれば何が証明されるのか

エアドロップを判断する際に、ページの見た目の洗練度、ソーシャルメディアへの投稿の返信数、見慣れたロゴの有無などは考慮しないでください。適切な検証プロセスでは、プロジェクトの公式な存在を裏付ける証拠が得られるはずです。

1. 宣伝メッセージを使わなくても、そのプロモーションにアクセスできます。

エアドロップが本物であれば、プロジェクトの公式サイト、ドキュメント、認証済みのアプリケーション、または独自にアクセスした公式ソーシャルアカウントなど、信頼できる情報源から手続きを開始できるはずです。一方的に送られてきたダイレクトメッセージ、返信、広告、検索広告、転送された投稿に含まれるリンクを、請求ページへの唯一のアクセス手段として使用しないでください。

重要なのは、独立した再現性です。もしそのプロモーションが、見知らぬ人から提供されたリンクを通じてのみ存在する場合、あるいは公式ルートで該当する告知が見つからない場合は、そこで調査を中止してください。

2. ドメインとクレームの宛先がプロジェクトの検証済み情報と一致している。

詐欺ドメインは、余分な単語、文字の入れ替え、紛らわしいサブドメイン、または視覚的に類似した文字を使用する場合があります。ウォレットを接続する前に、ホスト名全体をよく確認してください。ページは、無関係なドメインやスマートコントラクトからウォレットリクエストを送信しながら、ブランドを完全に模倣することができます。

南京錠のアイコンやHTTPSは、プロモーションが本物であることの証明ではありません。HTTPSは接続が暗号化されていることを意味するだけで、運営者が信頼できることを保証するものではありません。

3. 経済的に理にかなっている

実際のトークン配布には、その実施方法によってはネットワーク取引手数料が必要になる場合がありますが、それは報酬を「ロック解除」「検証」「有効化」「倍増」するために暗号通貨を送金するように指示されることとは全く異なります。FTCは特に、賞品や無料のお金を受け取るために事前に暗号通貨を送金するよう要求することは詐欺の特徴であると警告しています。

有効なルールは、それぞれの方向にどれだけの価値が動いているかを問うことです。もし、いわゆる「無料譲渡」が、あなたがまず他人が管理するアドレスにまとまった金額を送金することを前提としているなら、そのリスクは些細な技術的な問題ではなく、取引の中核をなすものです。

ボタンのラベルではなく、ウォレットリクエストを読んでください。

最も重要な瞬間は、「請求」ボタンをクリックした後に訪れることが多い。ウェブサイトのボタンには何でも書いてあるかもしれないが、実際に承認される内容を確認するには、ウォレットの確認画面を見るべきだ。

リクエストが単純なウォレット接続、メッセージ署名、トークン承認、NFT承認、またはオンチェーン転送のいずれであるかを確認してください。これらは同等の操作ではありません。MetaMaskは、ウォレットの接続とトークンの許可付与は異なると指摘しています。承認によってdappやコントラクトがトークンを移動できるようになりますが、接続だけでは自動的にその権限が付与されるわけではありません。

要求内容を分かりやすい英語で説明できない場合は、まだ署名しないでください。推測で対応するのは正しい対応ではありません。プロンプトを閉じ、公式文書で契約または申請内容を確認し、要求された権限が意図した機能と一致する場合にのみ続行してください。

すぐにアプローチを変えるべき危険信号

状況によっては、そのオファーを正当な説明に当てはめようと時間を費やすよりも、やり取りを止める方が賢明な場合もあります。

• シードフレーズ、シークレットリカバリーフレーズ、秘密鍵、またはウォレットのバックアップワードの入力を求められます。
• より多くの仮想通貨を受け取るには、まず自分が仮想通貨を送金する必要があります。
• このオファーは、一方的に送られてくるダイレクトメッセージ、返信、またはプライベートグループを通じてのみ利用可能です。
• あなたはカウントダウン、「最後のチャンス」という警告、あるいは割り当てられた枠が数分以内に消滅するという脅迫によってプレッシャーを感じています。
• このサイトは、請求対象の資産と一致しないトークンの承認を要求します。
• その手当は非常に高額だが、明確な理由は見当たらない。
• プロジェクトの公式サイトや公式チャンネルには、このイベントに関する記述はない。
• サポート担当者から、会話をプライベートチャンネルに移して機密情報や認証情報を共有するように求められました。

一つの危険信号だけでは、必ずしも不正行為を証明するものではありません。例えば、正当な分散型アプリケーションでもトークンの承認を求める場合があります。判断は状況に応じて行うべきです。アプリケーションが本物かどうか、要求された許可が必要かどうか、そしてその範囲を理解しているかどうかを考慮する必要があります。品質目標は、チェックリストの点数ではなく、証拠に基づいた確信を得ることです。

何かを主張する前に、より安全な習慣を身につけましょう

実験的なdAppsやトークン請求には、資産の大部分を保管するウォレットを公開するのではなく、専用のウォレットを使用してください。長期保有資産は、新しいプロトコルのテストに使用するアカウントとは別に保管してください。これは悪意のあるコントラクトを完全に安全にするものではありませんが、ミスが発生した場合にリスクを軽減することができます。

また、トークンの割り当て状況を定期的に見直しましょう。MetaMaskの公式ドキュメントでは、既存の承認状況を確認し、不要になった権限を取り消すことを推奨しています。権限の取り消しは、対応ネットワーク上でオンチェーンで行われる操作であり、通常はネットワーク手数料が発生するため、魔法のような復旧メカニズムとしてではなく、ウォレットの継続的なメンテナンスの一環として捉える方が適切です。

よく利用する公式プロジェクトサイトはブックマークしておきましょう。高額な取引の場合は、名前やトークン記号など、コピーされる可能性のある情報に頼るのではなく、公式文書で契約先住所を確認してください。資金を投じるほど重要な取引であれば、複数の独立した公式情報源で確認することも重要です。

既に接続、署名、承認、または送金済みの場合

対応は、実際に何が起こったかによって異なるべきです。単にページを閲覧するのと、復旧フレーズを入力するのと、承認を与えるのと、資産を送信するのとでは全く異なります。

ウォレットを接続したが、署名や承認をしなかった場合

信頼できなくなった場合は、ウォレットインターフェースからサイトを切断し、サイトを閉じて、別途トランザクションが送信されていないか確認してください。接続しただけではトークン使用の許可を得たことにはなりませんが、何も起こらなかったと決めつけるのではなく、ウォレットのアクティビティを確認することをお勧めします。

疑わしいトークンの承認を与えた場合

ウォレットまたはネットワークでサポートされている方法を使用して、該当する許可を確認し、取り消してください。MetaMaskの公式ガイドでは、dappの接続解除とスマートコントラクトの許可取り消しの違いについて説明しています。サイトの接続を解除しても、必ずしもオンチェーンのトークン承認がキャンセルされるわけではありません。スマートコントラクトの許可とトークン承認の取り消しに関するガイドを参照してください。

重要な資産が依然として危険にさらされている場合は、影響を受けていない資産を、復旧フレーズと秘密鍵が漏洩していない新しいウォレットに移動することを検討してください。漏洩した可能性のあるシードフレーズは再利用しないでください。

シードフレーズまたは秘密鍵を公開した場合

ウォレットが侵害されたものとして扱ってください。シードフレーズは、第三者が入手した後は再び秘密にすることはできません。信頼できるソフトウェアまたはハードウェアを使用して新しいウォレットを作成し、安全が確保されたら残りの資産を移動してください。ウォレットのパスワードを変更するだけでは不十分です。ローカルパスワードでは、盗まれたリカバリーフレーズや秘密鍵を無効化することはできません。

詐欺師に仮想通貨を送金した場合

迅速に行動し、取引ハッシュ、受取人アドレス、スクリーンショット、メッセージ、ユーザー名、ウェブサイト、タイムスタンプを保存してください。取引所、ウォレットプロバイダー、または関連サービスが使用されていた場合は、それらに連絡してください。FTCは、被害者に対し、関係する仮想通貨会社に連絡し、取引を不正行為として報告するよう助言していますが、仮想通貨の送金は取り消しが困難または不可能な場合があります。

米国では、FBIは仮想通貨詐欺の被害者に対し、関連する取引の詳細をインターネット犯罪苦情センター（IC3）に報告するよう求めている。IC3のガイダンスでは、ウォレットアドレス、金額、日付、取引IDの報告が重要視されており、また、その後の「返金」詐欺にも注意するよう警告している。FBIのIC3仮想通貨報告ガイダンスを参照のこと。

安全対策が機能しているかどうかを判断する方法

目標は、ウォレットのプロンプトをより速くクリックすることではありません。緊急性、ブランドイメージ、社会的証明に基づいて意思決定をする回数を減らすことです。取り返しのつかない行動を起こす前に、以下の質問に一貫して答えられるようになったら、あなたのプロセスはうまく機能していると言えます。

• このエアドロップまたはプレゼント企画が存在することを、私はどこで独自に確認したのでしょうか？
• 私は公式ドメインにアクセスしているのでしょうか？
• この署名または取引は何を承認するものですか？
• どのトークン、コントラクト、支出者、金額が関係していますか？
• この主張を行うために、なぜこの許可が必要なのですか？
• 私の想定が間違っていた場合、最大でいくらの損失を被る可能性がありますか？

これらの質問に答えられない場合は、アプローチを変えてください。作業を中止し、公式情報源で確認するか、開示する金額を減らすか、あるいは請求自体を完全に諦めるかのいずれかです。エアドロップを逃すことによる機会損失は通常限定的です。悪意のある承認に署名したり、リカバリーフレーズを開示したりすると、はるかに大きなリスクを負うことになります。

詐欺対策チェックリストの限界

チェックリストは、スマートコントラクト、ウェブサイト、またはプロジェクトの安全性を保証するものではありません。正規のサイトが侵害される可能性があり、公式のソーシャルアカウントが乗っ取られる可能性があり、ウォレットのインターフェースが変更される可能性があり、悪意のあるトランザクションの中には、専門家以外には解釈が難しいものもあります。セキュリティ警告は有用なシグナルであり、承認しようとしているアクションを理解することの代わりになるものではありません。

馴染みのない取引や高額取引の場合は、プロジェクトの公式チームやセキュリティコミュニティからの独立した確認を待つ、資金を限定した別のウォレットを使用する、または署名前に技術的なレビューを受けることを検討してください。最も重要な習慣はシンプルです。ウォレットへの署名は、報酬を得るためのルーチン的なボタン操作ではなく、承認の決定として扱うことです。