暗号化世界におけるフィッシング攻撃の産業化："詐欺即サービス"エコシステムの解析

2024年6月以来、セキュリティチームは大量の類似のフィッシング取引を監視しており、6月だけで関与した金額は5500万ドルを超えました。8月と9月に入ると、関連するフィッシング活動はさらに頻繁になり、ますます激化しています。2024年第三四半期、フィッシング攻撃は最大の経済損失を引き起こす攻撃手段となり、65回の攻撃行動で2.43億ドル以上を獲得しました。分析によれば、最近頻発するフィッシング攻撃は悪名高いフィッシングツールチームInferno Drainerに関連している可能性が高いです。このチームは2023年末に「引退」を高らかに宣言しましたが、今では再び活動を再開し、一連の大規模な攻撃を計画しているようです。

この記事では、Inferno Drainer、Nova Drainerなどのフィッシンググループの典型的な手口を分析し、その行動特性を詳しく列挙して、ユーザーがフィッシング詐欺を認識し防止する能力を向上させる手助けをします。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam as a Service ( Scam-as-a-Service) 概要

暗号化通貨の分野では、一部のフィッシングチームが「詐欺即サービス」と呼ばれる新しい悪意のあるモデルを発明しました。このモデルは、詐欺ツールとサービスをパッケージ化し、商品化された形で他の犯罪者に提供します。Inferno Drainerはこの分野の典型的な代表であり、2022年11月から2023年11月にかけてサービスを初めて終了する際に、詐欺金額は8000万ドルを超えました。

Inferno Drainerは、買い手に既製のフィッシングツールとインフラを提供することにより、フィッシングサイトのフロントエンドとバックエンド、スマートコントラクト、ソーシャルメディアアカウントを含む、迅速に攻撃を開始する手助けをします。サービスを購入したフィッシャーは、ほとんどの不正取得した資金を保持し、Inferno Drainerは10%-20%の手数料を徴収します。このモデルは詐欺の技術的ハードルを大幅に下げ、サイバー犯罪をより効率的かつ大規模にすることを可能にし、特にセキュリティ意識が低いユーザーが攻撃のターゲットになりやすい結果を招いています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

詐欺即サービスの運用メカニズム

詐欺サービスを紹介する前に、まず典型的な分散型アプリケーション（DApp）の作業フローについて理解しましょう。典型的なDAppは通常、フロントエンドインターフェース（Webページやモバイルアプリなど）とブロックチェーン上のスマートコントラクトで構成されています。ユーザーはブロックチェーンウォレットを通じてDAppのフロントエンドインターフェースに接続し、フロントエンドページは対応するブロックチェーントランザクションを生成し、それをユーザーのウォレットに送信します。ユーザーはその後、ブロックチェーンウォレットを使用してこのトランザクションを署名承認し、署名が完了した後、トランザクションはブロックチェーンネットワークに送信され、対応するスマートコントラクトが必要な機能を実行します。

フィッシング攻撃者は、悪意のあるフロントエンドインターフェースとスマートコントラクトを設計することによって、巧妙にユーザーを不安全な操作に誘導します。攻撃者は通常、ユーザーに悪意のあるリンクやボタンをクリックさせ、隠れた悪意のある取引を承認させるように欺き、さらには場合によっては、直接ユーザーに自分のプライベートキーを漏洩させるように仕向けます。ユーザーがこれらの悪意のある取引に署名したり、プライベートキーを露出したりすると、攻撃者は簡単にユーザーの資産を自分のアカウントに移転することができます。

一般的なフィッシング手法には、

1. 有名なプロジェクトのフロントエンドを偽造：攻撃者は有名プロジェクトの公式ウェブサイトを巧妙に模倣し、見た目上合法的なフロントエンドインターフェースを作成します。これにより、ユーザーは信頼できるプロジェクトと対話していると思い込み、警戒心を緩めて財布を接続し、安全でない操作を実行します。

2. トークンエアドロップ詐欺：攻撃者はソーシャルメディアでフィッシングサイトを大々的に宣伝し、「無料エアドロップ」、「早期プレセール」、「無料NFTミント」など非常に魅力的な機会を主張して、犠牲者をリンクをクリックするように誘います。犠牲者はフィッシングサイトに引き寄せられた後、無意識のうちにウォレットを接続し、悪意のある取引を承認することがよくあります。

3. 偽のハッカー事件と報酬詐欺：ネット犯罪者は、ある有名なプロジェクトがハッカー攻撃や資産凍結に遭ったと主張し、現在ユーザーに補償や報酬を支給しているとしています。彼らはこれらの偽の緊急事態を利用してユーザーをフィッシングサイトに誘導し、ウォレットを接続させることで、最終的にユーザーの資金を盗むのです。

フィッシング詐欺は新しい手法ではないと言えます。2020年以前からすでに非常に一般的でしたが、詐欺即サービスモデルは、ここ2年でフィッシング詐欺がますます激化する大きな推進力となっています。詐欺即サービスが出現する前は、フィッシング攻撃者は毎回攻撃を行うために、オンチェーンのスタートアップ資金を準備し、フロントエンドのウェブサイトとスマートコントラクトを作成する必要がありました。これらのフィッシングサイトの大半は粗悪ですが、一つのテンプレートを使用し、簡単な修正を行うことで、新しい詐欺プロジェクトを再作成することが可能でした。しかし、ウェブサイトの運営やページデザインには一定の技術的なハードルが必要でした。Inferno Drainerなどの詐欺即サービスツールプロバイダーは、フィッシング詐欺の技術的なハードルを完全に排除し、相応の技術がない買い手にフィッシングサイトの作成とホスティングサービスを提供し、詐欺から得た利益を抽出しています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

インフェルノドレイナーのスポイル分配メカニズム

2024年5月21日、Inferno Drainerはetherscanで署名検証メッセージを公開し、復帰を宣言し、新しいソーシャルメディアチャンネルを作成しました。

あるアドレスで大量の類似パターンの取引が行われました。取引の分析と調査を経て、私たちはこのような取引がInferno Drainerが被害者が釣られた後に資金を移動させ、分配する取引であると考えています。このアドレスで行われた取引の一例を挙げます：

1. Inferno DrainerはCREATE2を使用してコントラクトを作成します。CREATE2はイーサリアム仮想マシン内の命令で、スマートコントラクトを作成するために使用され、従来のCREATE命令と比較して、CREATE2命令はスマートコントラクトのバイトコードと固定のsaltに基づいてコントラクトのアドレスを事前に計算することを許可します。Inferno DrainerはCREATE2命令の特性を利用して、フィッシングサービスの購入者のために事前に分配コントラクトのアドレスを計算し、犠牲者が引っかかった後に分配コントラクトを作成して、トークンの移転と分配操作を完了させます。

2. 作成した契約を呼び出し、被害者のトークンをフィッシングアドレス（Inferno Drainerサービスの購入者）および分配アドレスに承認します。攻撃者はさまざまなフィッシング手段を通じて、被害者が意図せず悪意のあるPermit2メッセージに署名するように誘導しました。Permit2は、ユーザーが署名を通じてトークンの移転を許可することを可能にし、ウォレットと直接やり取りする必要がありません。そのため、被害者は自分が通常の取引に参加しているか、無害な操作を承認しているだけだと誤解し、実際には知らず知らずのうちに自分のトークンを攻撃者が制御するアドレスに承認してしまったのです。

3. 2つの分配アドレスに順番に一定数量のトークンを転送し、残りのトークンを購入者に転送して分配を完了します。

注目すべきは、現在、多くのブロックチェーンウォレットがフィッシング対策や類似の機能を実現しているが、多くのウォレットのフィッシング対策機能はドメインやブロックチェーンアドレスのブラックリストによって実現されていることである。Inferno Drainerは、分配前に契約を作成する方法で、ある程度これらのフィッシング対策機能を回避でき、さらに被害者の警戒心を低下させることができる。なぜなら、被害者が悪意のある取引を承認する際、その契約はまだ作成されていないため、そのアドレスの分析や調査は不可能だからである。この取引では、フィッシングサービスを購入した買い手が82.5%の不正資金を持ち去り、Inferno Drainerが17.5%を保持した。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

フィッシングサイトを作成するための簡単なステップ

詐欺サービスの助けを借りて、攻撃者はフィッシングサイトを作成するのが非常に簡単になります：

1. サービスプロバイダーのソーシャルメディアチャンネルに入ると、簡単なコマンドで無料のドメインと対応するIPアドレスを作成できます。

2. サービスプロバイダーが提供する数百種類のテンプレートの中から1つを選択し、その後インストールプロセスに進むと、数分後には見栄えの良いフィッシングサイトが作成されます。

3. 被害者を探す。一度被害者がそのウェブサイトに入り、ページ上の詐欺情報を信じて、ウォレットを接続して悪意のある取引を承認すると、被害者の資産は移転される。

攻撃者は詐欺サービスの助けを借りて、そのようなフィッシングサイトを構築するのに、わずか三つのステップで、かかる時間も数分だけです。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

まとめとセキュリティの提案

Inferno Drainerの帰還は間違いなく業界ユーザーにとって大きなセキュリティリスクをもたらしました。その強力な機能、隠れた攻撃手段、そして非常に低い犯罪コストにより、ネット犯罪者によるフィッシング攻撃や資金窃盗の主要なツールの一つとなっています。

ユーザーが暗号通貨の取引に参加する際は、常に警戒を怠らず、以下の点を心に留めておく必要があります：

• 無料ランチに警戒せよ：疑わしい無料エアドロップや補償などの「空からの饅頭」を信じてはいけません。公式ウェブサイトや専門の監査サービスを受けたプロジェクトのみを信頼してください。
• ネットワークリンクを慎重に確認してください：どのウェブサイトでウォレットを接続する前に、URLが有名なプロジェクトを模倣していないか注意深く確認し、WHOISドメイン検索ツールをできるだけ使用して、その登録時期を確認してください。登録時期が短すぎるウェブサイトは、詐欺プロジェクトである可能性が高いです。
• プライバシー情報の保護：疑わしいウェブサイトやアプリに自分のリカバリーフレーズや秘密鍵を提出しないでください。ウォレットがメッセージに署名するよう要求したり、取引を承認する前に、その取引が資金損失を引き起こす可能性のあるPermitまたはApprove取引であるかどうかを慎重に確認してください。
• 詐欺情報の更新に注意：定期的に警告情報を発信する公式ソーシャルメディアアカウントをフォローしてください。もし自分が誤って詐欺アドレスにトークンを許可してしまった場合は、すぐに許可を取り消すか、残りの資産を他の安全なアドレスに移動してください。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化