暗号化世界におけるフィッシング攻撃の産業化

2024年6月以来、安全チームは大量の類似のフィッシングや資金窃盗取引を監視してきました。6月だけで、関与した金額は5500万ドルを超えました。8月と9月に入ると、関連するフィッシング活動はさらに頻繁になり、ますます激化しています。2024年第三四半期には、フィッシング攻撃が最大の経済損失を引き起こす攻撃手段となり、攻撃者は65回の行動で2.43億ドル以上を獲得しました。

分析によると、最近頻発しているフィッシング攻撃は、悪名高いフィッシングツールチームInferno Drainerに関連している可能性が高い。このチームは2023年末に「引退」を高らかに宣言したが、現在再び活発になっており、一連の大規模攻撃を企てている。

本稿では、Inferno Drainerなどのフィッシング団体の典型的な手口を深く分析し、その行動特性を詳細に列挙します。ユーザーがフィッシング詐欺を識別し、防止する能力を向上させることを目的としています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

Scam-as-a-Serviceの台頭

暗号化通貨分野で、新しい悪意のあるモデルが登場しました - 詐欺即サービス（Scam-as-a-Service）。このモデルは、詐欺ツールとサービスをパッケージ化し、商品化の形で他の犯罪者に提供します。Inferno Drainerはこの分野の代表的なチームです。2022年11月から2023年11月にかけて、彼らがサービスを終了すると初めて発表した期間中に、累計詐欺額は8000万ドルを超えました。

Inferno Drainerは、フィッシングウェブサイトのフロントエンドとバックエンド、スマートコントラクト、ソーシャルメディアアカウントを含む、即座に使用できるフィッシングツールとインフラを購入者に提供することで、迅速に攻撃を開始できるように支援します。サービスを購入したフィッシング業者は、大部分の不正利益を保持でき、Inferno Drainerは10％から20％の手数料を徴収します。このモデルは、詐欺の技術的ハードルを大幅に下げ、サイバー犯罪をより効率的かつ大規模にしました。その結果、特にセキュリティ意識が低いユーザーが攻撃のターゲットになりやすく、暗号業界内でフィッシング攻撃が蔓延しています。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

詐欺即サービスの運用メカニズム

詐欺サービスを理解する前に、まず典型的な分散型アプリケーション（DApp）のワークフローを見てみましょう。典型的なDAppは通常、フロントエンドインターフェース（Webページやモバイルアプリなど）とブロックチェーン上のスマートコントラクトで構成されています。ユーザーはブロックチェーンウォレットを介してDAppのフロントエンドインターフェースに接続し、フロントエンドページは対応するブロックチェーン取引を生成し、それをユーザーのウォレットに送信します。ユーザーはその後、ブロックチェーンウォレットを使用してこの取引に署名して承認し、署名が完了すると、取引はブロックチェーンネットワークに送信され、対応するスマートコントラクトが必要な機能を実行します。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

フィッシング攻撃者は、悪意のあるフロントエンドインターフェースやスマートコントラクトを設計することで、巧妙にユーザーを不安全な操作に誘導します。攻撃者は通常、ユーザーに悪意のあるリンクやボタンをクリックさせ、隠れた悪意のある取引を承認させるように騙します。場合によっては、ユーザー自身の秘密鍵を直接漏洩させるように誘導することさえあります。ユーザーがこれらの悪意のある取引に署名したり、秘密鍵をさらけ出したりすると、攻撃者は簡単にユーザーの資産を自分のアカウントに移転させることができます。

一般的なフィッシング手法には、

1. 有名なプロジェクトのフロントを偽造する：攻撃者は有名なプロジェクトの公式ウェブサイトを巧みに模倣し、合法的に見えるフロントエンドインターフェースを作成し、ユーザーに信頼できるプロジェクトとやり取りしていると思わせる。

2. トークンエアドロップ詐欺：ソーシャルメディアで「無料エアドロップ」、「早期プレセール」、「無料NFTミント」などの魅力的な機会を大々的に宣伝し、被害者をリンクをクリックさせる。

3. 偽のハッカー事件と報酬詐欺：ある有名プロジェクトがハッカー攻撃を受けた、または資産が凍結されたと主張し、ユーザーに補償や報酬を提供している。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

インフェルノドレイナーのスポイル分配メカニズム

2024年5月21日、Inferno Drainerは、etherscanで署名確認メッセージを公開し、新しいDiscordチャンネルを作成することで、その復活を発表しました。

Inferno Drainerに関連する取引の分析を行った結果、その配分メカニズムは以下の通りであることがわかりました：

1. Inferno DrainerはCREATE2を通じて契約を作成します。CREATE2はEthereum仮想マシンの命令で、スマートコントラクトを作成するために使用されます。Inferno DrainerはCREATE2命令の特性を利用して、フィッシングサービスの購入者のために予め分配契約のアドレスを計算し、被害者が引っかかった後に分配契約を作成します。

2. 作成した契約を呼び出し、被害者のトークンをフィッシングアドレス（Inferno Drainerサービスの購入者）および分配アドレスに承認します。攻撃者はさまざまなフィッシング手段を通じて、被害者が意図せず悪意のあるPermit2メッセージに署名するように誘導しました。

3. 分配されたアドレスとバイヤーに対応する割合のトークンを送信し、分配を完了します。

注目すべきは、Inferno Drainerが分配前に契約を作成することで、ある程度いくつかのウォレットのフィッシング対策機能を回避でき、被害者の警戒心をさらに低下させることができる点です。私たちが観察した取引の中で、フィッシングサービスを購入した買い手は82.5%の不正資金を持ち去り、Inferno Drainerは17.5%を保持しました。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

フィッシングサイトを作成するための簡単なステップ

詐欺サービスの助けを借りて、攻撃者はフィッシングサイトを作成することが異常に簡単になりました：

1. Drainerが提供するTelegramチャンネルに入ると、簡単なコマンドを使用して無料のドメイン名と対応するIPアドレスを作成します。

2. 百以上のテンプレートから1つを選択し、インストールプロセスに入ります。数分後にはプロフェッショナルに見えるフィッシングサイトが生成されます。

3. 潜在的な被害者を探す。誰かがそのウェブサイトに入り、ウォレットを接続して悪意のある取引を承認すると、被害者の資産が移転される。

全体のプロセスは数分で済み、フィッシング攻撃の実施のハードルを大幅に下げました。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化

セキュリティの提案

増え続けるフィッシング攻撃に直面して、ユーザーは暗号通貨取引に参加する際に高度な警戒を維持する必要があります：

• "天上から饅頭が落ちてくる"式の宣伝、例えば疑わしい無料エアドロップや補償に警戒してください。
• ウェブサイトのURLを慎重に確認し、有名プロジェクトのドメイン名を模倣しているものに警戒してください。WHOISドメイン検索ツールを使用して、サイトの登録日時を確認できます。
• プライベート情報を厳重に保護し、疑わしいウェブサイトにニーモニックフレーズやプライベートキーを提供しないでください。
• 取引を承認する前に、資金損失を引き起こす可能性のあるPermitやApprove操作が含まれているかどうかを慎重に確認してください。
• セキュリティ警告情報に注意し、誤って権限を与えた場合は、残りの資産を迅速に回収または移転してください。

! Scam-as-a-Serviceエコシステムの謎を解く:暗号の世界におけるフィッシング攻撃の産業化