ソーシャルエンジニアリングの目薬は特定のプラットフォームのユーザーをターゲットにし、広範なフォローを引き起こしています

近年、暗号資産分野における社会工学的攻撃は、ユーザーの資金安全に対する重大な脅威となっています。2025年以降、ある有名なプラットフォームのユーザーを対象としたソーシャルエンジニアリング詐欺事件が次々と明らかになり、コミュニティで広範な議論を引き起こしています。これらの事件は孤立したケースではなく、持続的かつ組織的な特徴を示しています。

5月15日、プラットフォームは公告を発表し、以前の「内鬼」が存在するという推測を確認しました。アメリカ司法省はこのデータ漏洩事件について調査を開始しました。

この記事では、複数のセキュリティ研究者と被害者から提供された情報を整理することで、詐欺師の主な手口を明らかにし、プラットフォームとユーザーの2つの観点から対策を考察します。

履歴分析

オンチェーン探偵Zachは5月7日の更新で次のように指摘しました:"わずか1週間で、さらに4,500万ドル以上がソーシャルエンジニアリング詐欺によってそのプラットフォームのユーザーから盗まれました。"

昨年、Zachは何度もこのプラットフォームのユーザーが盗難に遭った事件について公表し、一部の被害者は数千万ドルの損失を被っています。彼が2025年2月に発表した詳細な調査によれば、2024年12月から2025年1月の間に、このような目薬によって引き起こされた資金損失はすでに6,500万ドルを超えています。このプラットフォームは深刻な"ソーシャルエンジニアリング詐欺"の危機に直面しており、このような攻撃は年間3億ドルの規模でユーザーの資産安全を脅かしています。

ザックはまた指摘しました:

• この種の詐欺を主導するグループは主に二つのタイプに分かれます。一つは特定のサークルからの低レベルな攻撃者、もう一つはインドに拠点を置くサイバー犯罪組織です。
• 詐欺団がアメリカのユーザーを主な攻撃対象とし、手口が標準化され、話術の流れが成熟しています。
• 実際の損失額は、取得できないカスタマーサポートのチケットや警察への通報記録など、公開されていない情報を含まないため、見える統計よりもはるかに高い可能性があります。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にする場合

詐欺の手口

今回の事件では、プラットフォームの技術システムは攻撃されておらず、詐欺者は内部スタッフの権限を利用して一部のユーザーの敏感情報を取得しました。これらの情報には、名前、住所、連絡先、アカウントデータ、身分証明書の写真などが含まれます。詐欺者の最終的な目的は、社会工学的手法を利用してユーザーに送金を促すことです。

このような攻撃方法は、従来の「網を撒く」フィッシング手法を変え、「精密攻撃」に移行し、「オーダーメイド」のソーシャルエンジニアリング詐欺と称されています。典型的な犯行の流れは以下の通りです:

1. 公式のカスタマーサービスを装ってユーザーに接触する

詐欺師は偽の電話システムを使用してプラットフォームのカスタマーサービスを装い、ユーザーに「アカウントが不正ログインされました」や「出金異常が検出されました」と言って緊急の雰囲気を作り出します。その後、彼らは偽のフィッシングメールやSMSを送信し、虚偽の工事番号や「復元プロセス」リンクを含めてユーザーに操作を促します。これらのリンクはクローンされたプラットフォームのインターフェースを指す可能性があり、さらには公式ドメインから来たように見えるメールを送信することもできます。一部のメールはリダイレクト技術を利用してセキュリティ対策を回避します。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

2. ユーザーを誘導して自己管理ウォレットをダウンロードさせる

詐欺師は「資産を保護する」という理由で、ユーザーに資金を「安全なウォレット」に移すよう誘導し、ユーザーに自己保管ウォレットをインストールさせ、新たに作成したウォレットに元々プラットフォームに保管されていた資産を移すよう指示します。

3. 偽のリカバリーフレーズを提供する

従来の"助詞フレーズを騙し取る"とは異なり、詐欺師は自分で生成した一連の助詞フレーズを直接提供し、ユーザーに"公式の新しいウォレット"として使用するように誘導します。

4. 資金を盗む

被害者は緊張と不安の中で"カスタマーサービス"を信頼しやすく、罠に陥りやすいです。彼らは"公式提供"の新しいウォレットが"侵入の疑いがある"古いウォレットよりも安全だと考えています。一度資金がこの新しいウォレットに移されると、詐欺師はすぐにそれを移動することができます。

さらに、一部のフィッシングメールは「集団訴訟の判決により、プラットフォームは完全に自己管理型ウォレットに移行します」と主張し、ユーザーに短期間で資産移転を完了するように求めています。ユーザーは緊急の時間的プレッシャーと「公式の指示」の心理的暗示の下で、操作に従いやすくなります。

安全研究者によると、これらの攻撃はしばしば組織的に計画され、実施される。

• 詐欺ツールチェーンの整備: 詐欺師はPBXシステムを使用して発信者番号を偽造し、公式カスタマーサービスの電話を模倣します。フィッシングメールを送信する際には特定のツールを利用して公式メールアドレスを偽装し、"アカウント回復ガイド"を添付して送金を誘導します。
• 目標が正確:目薬は不正なルートで購入した盗まれたユーザーデータに依存し、特定地域のユーザーを主要なターゲットに絞り、さらにはAIツールを利用して盗まれたデータを処理し、電話番号を分割再構成し、バッチでファイルを生成し、それを破壊ソフトウェアを通じてSMS詐欺を送信します。
• 誘導プロセスが一貫している: 電話、SMS、メールから、詐欺のパスは通常シームレスに連携しており、一般的なフィッシング表現には「アカウントに出金リクエストが届きました」、「パスワードがリセットされました」、「アカウントに異常なログインがあります」などが含まれ、被害者に「安全確認」を継続的に誘導し、ウォレットの移転を完了させるまで続きます。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

チェーン上の分析

オンチェーンのマネーロンダリングおよび追跡システムを通じて、既知の詐欺師のアドレスの一部を分析したところ、これらの詐欺師は強力なオンチェーン操作能力を持っていることがわかりました。主な特徴は以下の通りです:

• 攻撃対象は多様な資産をカバーしており、活動期間は2024年12月から2025年5月の間に集中しています。対象資産は主にBTCとETHです。BTCは現在最も主要な詐欺のターゲットであり、複数のアドレスが一度に数百枚のBTCを不正に得ており、単一の取引価値は数百万ドルに達しています。

• 資金を取得後、詐欺師は迅速に一連の洗浄プロセスを利用して資産を交換および移転します。主なパターンは以下の通りです:

  • ETH系の資産は通常、あるDEXで迅速にステーブルコインに交換され、その後複数の新しいアドレスに分散移転され、一部の資産は中央集権型取引所に入ります;

  • BTCは主にクロスチェーンブリッジを通じてイーサリアムに移転され、その後ステーブルコインに交換され、追跡リスクを回避します。

• 複数の目薬アドレスは、ステーブルコインを受け取った後も"静置"状態にあり、まだ転送されていません。

疑わしいアドレスとの相互作用によって資産が凍結されるリスクを回避するために、ユーザーは取引前にチェーン上の分析ツールを使用してターゲットアドレスのリスクを検出し、潜在的な脅威を効果的に回避することをお勧めします。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを狙うとき

対策

プラットフォーム

現在の主流のセキュリティ手段は主に"技術レイヤー"の防護ですが、ソーシャルエンジニアリング詐欺はしばしばこれらのメカニズムを回避し、ユーザーの心理や行動の隙間を突きます。したがって、プラットフォームはユーザー教育、安全トレーニング、ユーザビリティデザインを統合し、"人に焦点を当てた"セキュリティラインを構築することをお勧めします。

• 定期的に詐欺防止教育コンテンツをプッシュ: アプリのポップアップ、取引確認画面、メールなどを通じてユーザーのフィッシング防止能力を向上させる;

• リスク管理モデルを最適化し、「インタラクティブ異常行動認識」を導入: 大多数のソーシャルエンジニアリング詐欺は、短期間でユーザーに一連の操作を完了させるように誘導します。プラットフォームは、行動チェーンモデルに基づいて疑わしいインタラクションの組み合わせを識別し、クールダウン期間または人工再審査メカニズムをトリガーするべきです。

• カスタマーサポートチャネルと検証メカニズムの規範化: 詐欺師はしばしばカスタマーサポートを装ってユーザーを惑わすため、プラットフォームは電話、SMS、メールテンプレートを統一し、"カスタマーサポート検証入口"を提供し、唯一の公式コミュニケーションチャネルを明確にして混乱を避けるべきである。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

ユーザー

• 身分隔離ポリシーの実施: 複数のプラットフォームで同じメールアドレスや電話番号を共有しないようにし、関連リスクを低減します。漏洩チェックツールを使用して、定期的にメールアドレスが漏洩していないか確認することができます。

• 転送ホワイトリストと出金クーリングメカニズムを有効にする: 信頼できるアドレスを事前に設定し、緊急時の資金流出リスクを低減します。

• 安全情報を継続的にフォローする: セキュリティ会社、メディア、取引プラットフォームなどのチャネルを通じて、攻撃手法の最新動向を把握し、警戒を怠らないこと。現在、複数のセキュリティ機関がWeb3フィッシング演習プラットフォームを開発中で、様々な典型的なフィッシング手法をシミュレートし、ユーザーがリスクのない環境で識別能力と対応能力を向上させることができる。

• オフラインのリスクとプライバシー保護に注意:個人情報が漏洩すると、身の安全に関する問題が発生する可能性があります。

今年以来、暗号業界の従事者/ユーザーは多くの人身安全に関する脅威に直面しています。今回漏洩したデータには詳細な個人情報が含まれているため、関連ユーザーはオフラインでも警戒を強め、安全に注意する必要があります。

要するに、疑いを持ち続け、継続的に検証することです。緊急の操作に関わる場合は、必ず相手に自己証明を求め、公式なルートを通じて独立して確認し、プレッシャーの下で取り返しのつかない決定を下さないようにしてください。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

まとめ

今回の事件は、成熟が進むソーシャルエンジニアリング攻撃手法に直面して、業界が顧客データや資産保護において依然として明らかな短所が存在することを再び露呈しました。警戒すべきなのは、プラットフォームの関連職が資金権限を持っていなくても、十分な安全意識や能力が欠けている場合、無意識のうちに情報を漏洩したり、反抗的に仕向けられることで深刻な結果を招く可能性があることです。プラットフォームの規模が拡大するにつれて、人的セキュリティ管理の複雑さも増し、業界で最も克服が難しいリスクの一つとなっています。したがって、プラットフォームはブロックチェーン上の安全メカニズムを強化するだけでなく、内部スタッフや外部サービスをカバーする「ソーシャルエンジニアリング防御システム」を体系的に構築し、人為的リスクを全体的な安全戦略に組み込む必要があります。

さらに、一旦攻撃が孤立した事件ではなく、組織的で規模の大きい継続的な脅威であることが判明した場合、プラットフォームは迅速に対応し、潜在的な脆弱性を積極的に調査し、ユーザーに防止策を通知し、損害の範囲を制御する必要があります。技術的および組織的なレベルでの二重の対応を行うことで、ますます複雑化する安全環境の中で、信頼と限界を守ることができるのです。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき