仮想通貨ユーザー必見！フィッシング詐欺を防ぐための最新ガイド

仮想通貨の利用者が増える一方で、詐欺の被害も急増しています。特に偽サイトを用いたフィッシング詐欺は、初心者ユーザーが騙されやすい傾向があります。

本記事では、フィッシング詐欺の概要や予防策、詐欺被害にあった際の初動についてまとめて解説します。

フィッシング詐欺とは？

フィッシング詐欺は、偽メールやウェブサイトを使ってユーザーの個人情報やログイン情報を盗み取る犯罪行為です。犯罪グループは不正に入手した情報を利用し、取引所やウォレットへアクセスすることで、資金を流出させます。

近年、Web3サービスの拡大と認知度が向上したことで、仮想通貨を狙ったフィッシング詐欺が増えてきています。攻撃者は仮想通貨取引所やカスタマーサービスになりすまし、ユーザー情報を盗みます。

特にスマートコントラクトを悪用したフィッシングには注意が必要です。身に覚えのないトークンがウォレットに送られてきた際は、承認だけでなく関連リンクなどもクリックしないようにしましょう。

参照：総務省「フィッシング詐欺とは？」

参照：警察庁「暗号資産（仮想通貨）に関するトラブルにご注意ください！」

Web3で横行する主な詐欺のまとめ

詐欺パターン	説明
偽のウォレットアプリ	正規のウォレットアプリに似せた偽アプリを配布
投資詐欺/ラグプル	開発者がプロジェクトを放棄し、投資家の資金を持ち逃げ
フィッシング	偽のウェブサイトやメールを使って秘密鍵やログイン情報を盗む
詐欺的ICO/IEO	実体のないプロジェクトで資金を集め、開発を放棄する
ポンジ・スキーム	新規投資家からの資金を使って古い投資家に配当を支払う
スマートコントラクトの悪用	スマートコントラクトの脆弱性を悪用して資金を盗む

仮想通貨を狙った詐欺手法はフィッシング以外にもあります。そもそも詐欺グループがユーザー資産を盗むために、Web3プロジェクト（ウォレット作成、ICO/IEOなど）を立ち上げるケースもあります。

魅力的なWeb3プロジェクトが多く進行していますが、運営情報が明らかでない場合は距離を置いた方がよいでしょう。VC（ベンチャーキャピタル）の出資、もしくはSNS情報などの第三者情報を総合的に評価することが大切です。

なぜ仮想通貨ユーザーが狙われやすいのか

詐欺グループが仮想通貨ユーザーを狙う大きな理由の一つとして、ブロックチェーン技術の「匿名性」が挙げられます。ブロックチェーンは取引の改ざん耐性、アドレスベースの識別によって高いセキュリティを有します。しかし、そのセキュリティの高さを逆に詐欺グループが利用することで、詐欺事件の解決を遅らせることになります。

例えば、2018年にコインチェックから盗まれたXEM（ネム）はすぐに流出先ウォレットが特定されましたが、ウォレットが個人情報と結びつかないため、犯人情報の特定には至りませんでした。

仮想通貨を狙ったフィッシング詐欺の5つの手口

仮想通貨を狙ったフィッシング詐欺の主な手口として、5つにまとめて解説します。

1. 偽のウォレットアプリ/サイト

偽のウォレットやサイトを作成し、ユーザーに仮想通貨を入金させる詐欺手法です。もっともシンプルなフィッシング詐欺といえます。

過去にはMetamask、Phantom Walletの偽ウォレットや偽公式サイトがありました。ホットウォレットは本来ノンカストディアル型ウォレットですが、偽ウォレットでは詐欺グループが資産管理できる状態が保持されます。つまり、詐欺グループはいつでもウォレット内の資金を自由に移動できます。

参照：How do I recognize the real MetaMask?

参照：I was phished, scammed or hacked, can you help?

2. SNSを利用した詐欺

SNSを利用したフィッシングでは、著名人やインフルエンサーが利用されます。詐欺グループは著名人やインフルエンサーを語り、特別なキャンペーンや割引コードといった魅力的な情報を配信します。ユーザーはその情報を信じて、掲載リンク先で個人情報やウォレット情報などを入力し、結果的に仮想通貨が盗まれます。

SNSアカウントの公式アイコン、もしくはフォロワー数などをしっかりと確認し、正当なものであるかを判断することが大切です。

3. エアドロップを装った詐欺

エアドロップは不特定多数のウォレットユーザーに対し、トークンを配布する行為です。Web3プロジェクトで認知度向上や、早期エントリーユーザーに対するインセンティブの1つとして行われます。

まずはWeb3プロジェクトが正当なものかを評価しましょう。そのうえで、エントリーシートで不必要な個人情報の入力を避けるようにします。

4. メールやSMS

迷惑メールフォルダやSNSのセキュリティ機能のおかげで、不信なメールやメッセージが送られてくることは少なくなってきています。しかし、それでも怪しいメールやメッセージは無くなることはありません。

知らない送信者からのメールやメッセージに掲載されているリンクは、クリックしないようにしましょう。

5. 正当性の低い取引所サイト

取引所自体が詐欺目的で設立されることがあります。特にDEX※はDAO※によって運営されていることがあるので、運営者が詐欺グループでも判明することはありません。CEX※でも拠点国が明記されておらず、CEOやスタッフ情報が不明といったケースでは注意が必要です。

よくわからないDEXにはウォレット接続をしないようにしましょう。また、CEXでもCMC（Coin Market Cap）などのまとめサイトに掲載されていないところでアカウント作成は控えることが大切です。アカウント作成で入力した情報がそのまま悪用されるリスクがあります。

※ DEX（Decentralized Exchanges：分散型取引所）

※ DAO（Decentralized Autonomous Organization：分散型自律組織）

※ CEX（Centralized Exchange：中央集権型取引所）

フィッシング詐欺を防ぐための7つのポイント

仮想通貨の使用は自己責任下かつユーザー主導で行われることが多いため、フィッシング詐欺を回避するためには、事前のWeb3リテラシー強化が重要です。

1.第三者によって評価されている取引所サイトの利用

国内取引所であれば、暗号資産交換業者登録一覧に明記されている取引所を使用しましょう。海外取引所は拠点国や運営者情報が明確なところが比較的安全ですが、日本の法制度が適応されないので、万が一の補償がされない可能性があります。初心者は海外取引所や認知度の低い取引所は使用しないのが得策です。

取引所情報をまとめたリスティングサイトを利用し、取引所を客観的に評価してもよいでしょう。例えば、CMCは世界中の取引所情報を集約しています。口コミや資産保有情報なども確認できるのでおすすめです。

2.メジャーなウォレットの利用

フィッシング詐欺に使用される偽ウォレットは、認知度の高いメジャーウォレットが使用される可能性があります。しかし、メジャーなウォレットは多くのユーザーによってレビューされているので、偽ウォレットが見つかった際も情報共有はスピーディーです。よって、すぐにフィッシング詐欺が判明します。

例えば、MetamaskやPhantom Walletでは、偽物ウォレット情報がすぐに公式SNSで発表されています。「怪しい」と感じたら、使用しているウォレットの公式SNSを見てみましょう。

3.二段階認証の徹底

二段階認証（2FA：2 Factor Authentication）は取引所のログインや送金時に、メールや認証アプリなどで二重に認可するシステムです。仮にフィッシング詐欺で詐欺グループが取引所へアクセスできたとしても、送金は二段階認証によって本来のユーザーの許可が必要になります。結果的に仮想通貨の盗難は防がれることになります。

一方で、二段階認証が実装されているホットウォレットなどはありません。これはノンカストディアル型ウォレットと個人情報が結びつかないような配慮が背景にあるとされています。将来的には認証アプリとの連携でホットウォレットでの二段階認証実装も期待されています。

関連記事：仮想通貨ユーザー必見！スマホ機種変更時の二段階認証移行プロセス

4. 公式サイトのブックマーク活用

CEXやDEX、もしくはウォレットの公式サイトをブックマークしておくことで、怪しいサイトへのアクセスを回避できます。SNSでも信頼できるアカウントは事前にフォローしておき、著名人やインフルエンサーの偽物を見分けられるようにする取り組みが大切です。

またX（旧Twitter）やInstagramでは、正当性のあるアカウントには運営から公式マークが付与されます。これらの情報もフィッシング詐欺を予防する際に役立てることができます。

5. リボークの徹底

リボークはホットウォレットの承認を取り消すことです。DeFi※やNFT※などのサービスを利用する際に、ウォレットは特定のトークンの使用（スマートコントラクトの実行）を承認しますが、この承認をリボークで取り消すことができます。リボークをせずに悪意のあるスマートコントラクトに承認を与えたままだと、資産が不正に移動される恐れがあります。

リボークのやり方はウォレット、ネットワークごとに異なります。例えば、ETHではEthereum Token Approvalにアクセスし、怪しいトークンの承認を取り消します。

※ DeFi（Decentralized Finance：分散型金融）

※ NFT（Non-Fungible Token：非代替性トークン）

6. コールドストレージの活用

コールドストレージ（コールドウォレット）とは、オフラインの仮想通貨保管方法です。フィッシング詐欺で狙われている仮想通貨を、インターネットから切り離されたところで保管することで安全を確保します。

例えば、Coinbase Walletではコールドウォレット（Ledger※）と連携させることが可能です。万が一Coinbase Walletに不正アクセスされたとしても、資産はオフラインで管理されているので流出することはありません。

※ Ledgerは最もメジャーなコールドウォレットです。

7. コミュニティーでの情報共有

フィッシング詐欺を回避するためには、事前の情報が重要です。そして、最も頻繁に詐欺情報がやり取りされるのが、各Web3プロジェクトのコミュニティーです。例えば、MetamaskやTrust WalletのSNSでは、異変に気付いたユーザーによる投稿をリアルタイムで見ることができます。

Web3プロジェクトのコミュニティーには、公式サイトからアクセスしましょう。Google検索で表示されるコミュニティーは公式運営のものではない可能性があります。

フィッシング詐欺被害にあったら際の対応策

すでにフィッシング詐欺に遭ってしまった、仮想通貨を不正に送金されてしまったという方は、ここで紹介する初動対応策を実施しましょう。被害を最小限にする処置、通報、また専門家への相談が重要です。

被害を最小限に抑えるための初動

悪意のあるスマートコントラクトが働いた場合は、すぐにリボークを実施しましょう。しかし、それでも不安は残るため、残った資産は安全な別ウォレットへ移動させてください。

ウォレットにアクセスされてしまった場合は、簡単に仮想通貨を送金されてしまいます。いかに素早くアクセスの事実を認知することが大切です。Coinbase Walletでは重要なアクションが行われた際に通知をする機能が実装されています。通知に違和感があった際は、すぐに別ウォレットへ資産を移動させましょう。

取引所アカウントに不正アクセスされてしまった場合は、取引所のカスタマーサービスに連絡してください。また、すぐに二段階認証を設定させましょう。二段階認証がうまく機能すれば不正送金は防げます。

関係機関への報告

不正アクセスされた取引所、ウォレットの運営、警察や金融庁（金融サービス利用者相談室）、フィッシング詐欺で使用されたDApps※や取引所のコミュニティーへ報告してください。詐欺情報を一早く拡散することで、被害拡大を防ぐことができます。

金融庁の金融サービス利用者相談室は、直接的なソリューションを提供するわけではありませんが、被害拡大を防止するための情報を得ることができます。

※ DApps（Decentralized Applications：分散型アプリ）

専門家への相談

Web3分野の専門家、法律の専門家に相談して、被害拡大防止策、資産復旧策などを相談します。盗難された仮想通貨は、最終的に法定通貨へと現金化される可能性があります。その際に使用される取引所が日本国内にあった場合は、適切な処置（現金化の制限など）がとられることがあります。

海外の取引所でも法的機関窓口などが設けられていることがあります。詐欺グループが使用しているとみられるアカウント凍結などの処置が期待できます。

まとめ

普段何気なく使っているサイトやSNSでフィッシング詐欺は行われます。フィッシング詐欺は、誰にでも起こりうるリスクであることを再確認しましょう。

以上、フィッシング詐欺の概要や予防策、詐欺被害にあった際の初動についてまとめて解説させていただきました。万が一被害に遭った場合や不審に感じた際には、迅速な対応が資産保全の鍵となります。

資産送金の不具合、引き出し制限などで困った際は専門家のサポートが受けられるクリプトレスキューセンターにぜひご相談ください。皆様の個別の課題に沿った適切なソリューションをご提案いたします。