暗号化世界におけるフィッシング攻撃の産業化

2024年6月以来、セキュリティチームは大量の類似のフィッシングおよび資金盗取取引を監視しており、6月だけで関与した金額は5500万ドルを超えています。8、9月に入ると、関連するフィッシング活動はさらに頻繁になり、ますます激化しています。2024年第三四半期、フィッシング攻撃は最大の経済的損失をもたらす攻撃手段となり、攻撃者は65回の行動で2.43億ドル以上を獲得しました。分析によると、最近頻繁に発生しているフィッシング攻撃は、悪名高いフィッシングツールチームInferno Drainerに関連している可能性が高いです。このチームは2023年末に「引退」を発表しましたが、現在再び活発になり、一連の大規模攻撃を引き起こしています。

この記事では、Inferno Drainer、Nova Drainerなどのフィッシンググループの典型的な手口を分析し、その行動特性を詳述します。これは、ユーザーがフィッシング詐欺を認識し、防止する能力を向上させることを目的としています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceのコンセプト

暗号化の世界では、一部のフィッシングチームがScam-as-a-Service（詐欺即サービス）という新しい悪意のあるモデルを発明しました。このモデルは、詐欺ツールとサービスをパッケージ化し、商品化の形で他の犯罪者に提供します。Inferno Drainerはこの分野の典型的な代表であり、2022年11月から2023年11月にかけてサービスを初めて終了する際の詐欺額は8000万ドルを超えました。

Inferno Drainerは、買い手に即座に使用できるフィッシングツールとインフラストラクチャを提供することで、フィッシングウェブサイトの前後端、スマートコントラクト、ソーシャルメディアアカウントを含み、迅速に攻撃を開始する手助けをします。サービスを購入したフィッシャーは、ほとんどの不正取得した資金を保持し、Inferno Drainerは10%-20%の手数料を徴収します。このモデルは詐欺の技術的なハードルを大幅に下げ、サイバー犯罪をより効率的かつ大規模にし、フィッシング攻撃が暗号業界で蔓延する原因となり、特に安全意識が欠如しているユーザーが攻撃の標的になりやすくなっています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceの仕組みは?

SaaSを理解する前に、典型的な分散型アプリケーション（DApp）のワークフローを見てみましょう。典型的なDAppは通常、フロントエンドインターフェース（Webページやモバイルアプリなど）とブロックチェーン上のスマートコントラクトで構成されています。ユーザーはブロックチェーンウォレットを介してDAppのフロントエンドインターフェースに接続し、フロントエンドページは対応するブロックチェーン取引を生成し、それをユーザーのウォレットに送信します。ユーザーはその後、ブロックチェーンウォレットを使用してこの取引に署名し承認します。署名が完了すると、取引はブロックチェーンネットワークに送信され、対応するスマートコントラクトが必要な機能を実行します。

フィッシング攻撃者は、悪意のあるフロントエンドインターフェースとスマートコントラクトを設計することで、ユーザーを巧妙に不安全な操作に誘導します。攻撃者は通常、ユーザーに悪意のあるリンクやボタンをクリックさせることで、隠れた悪意のある取引を承認させるように騙したり、場合によっては直接ユーザーに自分の秘密鍵を漏らすように誘導します。一度ユーザーがこれらの悪意のある取引に署名したり、秘密鍵を暴露したりすると、攻撃者は簡単にユーザーの資産を自分のアカウントに移動させることができます。

一般的なフィッシング手法には次のものが含まれます：

1. 有名なプロジェクトのフロントエンドの偽造：攻撃者は有名なプロジェクトの公式ウェブサイトを巧妙に模倣し、正当なフロントエンドインターフェースを作成して、ユーザーに信頼できるプロジェクトと対話していると誤解させる。

2. トークンエアドロップ詐欺：ソーシャルメディアでフィッシングサイトを大々的に宣伝し、"無料エアドロップ"、"早期プレセール"、"無料NFTミント"などの魅力的な機会を謳い、被害者をリンクをクリックさせて悪意のある取引を承認させる。

3. 偽のハッカー事件と報酬詐欺：ある有名プロジェクトがハッカー攻撃を受けたり、資産が凍結されたと主張し、ユーザーに補償や報酬を支給することで、偽の緊急事態を利用してユーザーをフィッシングサイトに誘導する。

SaaSモデルは、近年のフィッシング詐欺がますます悪化している主な要因です。SaaSが登場する前は、フィッシング攻撃者は攻撃を行うたびに、チェーン上の資金を準備し、フロントエンドのウェブサイトやスマートコントラクトを作成する必要がありました。これらのフィッシングサイトは大半が粗悪なものでしたが、それでも一定の技術的ハードルが必要でした。Inferno DrainerなどのSaaSツール提供者は、フィッシング詐欺の技術的ハードルを完全に排除し、相応の技術を持たない買い手にフィッシングサイトの作成とホスティングサービスを提供し、詐欺から得た利益の一部を抽出しています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Inferno Drainerの復活と戦利品共有の仕組み

2024年5月21日、Inferno Drainerはetherscan上で署名検証メッセージを公開し、復帰を宣言し、新しいDiscordチャンネルを作成しました。セキュリティチームは最近、異常な行動を示すフィッシングアドレスを集中的に監視しており、取引の分析と調査の結果、これらの取引はInferno Drainerが被害者を引っ掛けた後に資金を移動させて分配する取引であると考えています。

その中の一つの取引を例にとると、攻撃の過程は次のようになります：

1. Inferno DrainerはCREATE2を使用して契約を作成します。CREATE2はEthereum仮想マシンの命令で、スマートコントラクトを作成するために使用され、スマートコントラクトのバイトコードと固定のsaltに基づいて契約のアドレスを事前に計算することを可能にします。

2. 作成した契約を呼び出し、被害者のDAIをフィッシングアドレス（Inferno Drainerサービスの買い手）と分配アドレスに承認します。攻撃者はさまざまなフィッシング手段を通じて、被害者が意図せず悪意のあるPermit2メッセージに署名するように誘導しました。

3. それぞれ3,654と7,005 DAIを2つの分配アドレスに送金し、買い手に50,255 DAIを送金して分配を完了します。

この取引では、釣りサービスを購入したバイヤーが82.5%の不正利益を持ち去り、Inferno Drainerは17.5%を保持しました。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

フィッシングサイトの迅速な作成プロセス

SaaSの助けを借りて、攻撃者は簡単かつ迅速にフィッシングサイトを作成できます。具体的な手順は以下の通りです：

1. Drainerが提供するTGチャンネルに入り、簡単なコマンドを使用して無料ドメインと対応するIPアドレスを作成します。

2. ロボットが提供する数百種類のテンプレートから1つを選択し、インストールプロセスに入ります。数分後にはリアルなフィッシングサイトが生成されます。

3. 被害者を探す。一旦被害者がウェブサイトに入り、ページ上の詐欺情報を信じてウォレットを接続し、悪意のある取引を承認すると、その資産は移転されます。

全体のプロセスは数分しかかからず、犯罪コストを大幅に削減しました。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

セキュリティの提案

このようなフィッシング攻撃を防ぐために、ユーザーは以下を行うべきです：

• "天上から饅頭が落ちてくる"という宣伝を鵜呑みにしないでください。疑わしい無料エアドロップや補償など。
• ウォレットを接続する前に、ウェブサイトのURLを慎重に確認し、著名なプロジェクトの模倣サイトに注意してください。
• WHOISドメイン検索ツールを使用してウェブサイトの登録日時を確認します。登録日時が短すぎるウェブサイトは詐欺プロジェクトの可能性があります。
• 疑わしいウェブサイトやアプリにニーモニック、秘密鍵などのプライバシー情報を送信しないでください。
• 署名メッセージまたは取引を承認する前に、資金の損失を引き起こす可能性のあるPermitまたはApprove操作が含まれているかどうかを慎重に確認してください。
• CertiK Alertなどの公式アカウントをフォローし、最新の詐欺動向をタイムリーに把握しましょう。
• 詐欺のアドレスにトークンを誤って許可してしまった場合は、直ちに許可を取り消すか、残りの資産を安全なアドレスに移動してください。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化