アドレス・ポイズニング：暗号資産ウォレット詐欺
アドレス・ポイズニングの最も危険な点は、被害者の実際のウォレットセキュリティや秘密鍵を侵害することなく成功するということです。詐欺師は被害者のアカウントにアクセスすることなく、ユーザー自身のインターフェースと行動パターンを悪用するだけです。そのため、明らかな詐欺には引っかからないと確信している自信のある暗号資産ユーザーに対して特に効果的です。アドレス・ポイズニングで資金を失った被害者は、損失が技術的には自分自身の過ちであることに気づくため、精神的な大きなショックを受けることが多いです。ただし、彼らは攻撃者の意図的な設計によって操作されていたのです。暗号資産の転送は永続的であり、資金は通常、数分以内に複数のアドレスを通じて移動されるか、異なるブロックチェーンネットワークにラップされるため、回復はほぼ不可能です。
主な手口
- •1～2文字異なる攻撃者管理アドレスから、被害者のウォレットアドレスに対して、『0』を『O』に、『1』を『l』に置き換えるなどして外見上ほぼ同一に見える無価値なERC-20、BEP-20などトークンの小額送付を数十回行う。
- •被害者の取引履歴に最近の取引として表示されるよう毒入れされたトランザクションのタイミングを調整し、次の送付時にアドレスをコピーする際、被害者自身のアドレスではなく無意識に攻撃者のアドレスを選択させる。
- •ブロックチェーンエクスプローラーとウォレットインターフェースを利用して、アドレスを切り詰められた形式（最初と最後の文字のみ表示）で表示させ、被害者の実際のアドレスと攻撃者の毒入れアドレス間の視覚的類似性をさらに高める。
- •ターゲットアドレスの最上位の文字と一致するウォレットアドレスを作成し、ユーザーが通常すべての文字ではなくアドレスの冒頭と末尾のみを検証する傾向を悪用する。
- •公開ブロックチェーンエクスプローラーで大型取引を監視して高額ウォレットアドレスをターゲットにし、その後ポイズニング攻撃を実行して大きな金額の転送を傍受する。
- •アドレス・ポイズニングをソーシャルエンジニアリングまたは偽の投資機会と組み合わせ、被害者が正当なプロジェクトまたは取引所に属すると信じるアドレスへ暗号資産を送信するよう既に準備させる。
見分け方
- 短時間（数時間から数日）に、自分のアドレスと切り詰められた形式で類似して見える複数の異なるアドレスから、心当たりのない未知のトークンの小額送付を複数回受け取る。
- ウォレットの最近の取引履歴に、わずかな文字の違い（例：0x...A1B2C3 対 0x...A1b2C3）がある、認識のない送信元アドレスからのトークン転送が表示される。
- 新規転送のため最近の取引履歴からアドレスをコピーすると、注意深い1文字ずつの比較により、それが実際のウォレットアドレスとわずかに異なることが判明する。
- 認可していない暗号資産の取引確認に気づき、調査の結果、意図した受取人のアドレスではなく、誤ってコピー&ペーストした攻撃者のアドレスに送信していたことが判明する。
- 正当なプロジェクトまたは取引所トークンに似た名前のスパムトークンがウォレットに表示され、通常の取引履歴と混在して、認証されたアドレスの特定がより難しくなっている。
- ウォレットインターフェースに、自分が開始しなかった、特に正当な目的のない小額転送で未知の送信元からのアドレスへの最近の取引が表示される。
身を守る方法
- 取引履歴から直接ウォレットアドレスをコピー&ペーストしない。代わりにアドレス帳または公式アプリケーション機能を使用して信頼できるアドレスを保存・取得し、資金送付前に各アドレスを手動で確認する。
- 特に大型転送の場合は、送付前にアドレス帳または公式文書などの確認済みソースと比較して、宛先アドレスの全文字を1文字ずつ比較し、確認する。
- トランザクション確認画面で完全で切り詰められていないアドレスを表示し、転送を最終確認する前に明示的なアドレス検証を要求するウォレットソフトウェアを使用する。
- ウォレットのアドレスラベリングおよびタグ付け機能を有効にして、自身のアドレスと頻繁に使用する受取人アドレスをマークし、取引履歴からのコピーへの依存を減らす。
- 暗号資産の大きな金額を送信する場合は、宛先アドレスが正当であることを確認するため小額のテスト送付を先に行い、フル送付前に確認を待つ。
- ウォレットアドレスと頻繁に使用する受取人アドレスの安全なオフライン記録（ハードウェアウォレットや暗号化文書など）を保持し、取引履歴ではなく確認済みソースからアドレスをコピーできるようにする。
実例
暗号資産トレーダーが定期的にCoinbaseアカウントと個人用MetaMaskウォレット間でEthereumを移動しています。数ヶ月間の通常の転送後、彼女は同僚に2 ETH（約40万円）を送付するためウォレットを開き、最近の取引履歴に表示されるCoinbaseの入金アドレスと思われるものを無意識にコピーします。アドレスが切り詰められた形式で表示されているため、『8』が『B』に置き換わっている1文字の違いに気づきません。トランザクションを確認すると、Ethereumは攻撃者のアドレスへ数秒以内に転送され、ブリッジプロトコルを通じて混合されます。Coinbaseで取引が到着しないことに気づく頃には、資金は既に回復不可能です。
自分をセキュリティに精通していると考えるBitcoin投資家が、『SafeMoon』や『EtherMax』という名前のトークンの小額送付を2日間にわたって複数回受け取ります。そのトークンについて好奇心を抱きますが、正当なプロジェクトからのエアドロップと想定して無視します。1週間後、0.5 BTCをハードウェアウォレットメーカーに送付する必要があり（180万円相当）、最近の取引履歴からアドレスをコピーします。ただし、それは実はスパムトークン転送から送信された攻撃者の毒入れアドレスです。取引確認後にのみ誤りに気づき、ブロックチェーン分析により、ビットコインは直ちに複数のミキサーを通じて移動されたことがわかります。
分散型金融（DeFi）ユーザーが定期的にUniswapでトークンをスワップし、異なる目的のために複数のウォレットアドレスを保有しています。攻撃者は、1文字を除いて同一のアドレスから100単位の無価値なトークンを送付して、このアクティブなウォレットをターゲットにします。翌日、被害者がUSDCを流動性プロバイダーに送付する必要があり、最近の取引履歴から正しいと思われるアドレスを素早くコピーし、125万円相当のステーブルコインを送付します。攻撃者は直ちにUSDCをプライバシーミキサーを通じてMoneroに変換します。被害者の取引履歴には未知のアドレスへの送付が表示されていますが、取引は不変であるため回復は不可能です。
よくある質問
詐欺師が私のウォレットにアクセスしなくても、アドレスポイズニングはどのようにして私の暗号資産を盗むのですか？
送金前にポイズニングされたアドレスを見分けるためにどんな警告サインを探せばいいですか？
ポイズニングされたアドレスに暗号資産を送ってしまったと気づいた場合、資金を回復できますか？
なぜ自信のある暗号資産ユーザーの方が初心者よりこの詐欺に弱いのですか？
今すぐできるアドレスポイズニング攻撃からウォレットを守るための対策は何ですか？
通報窓口 — 日本
お住まいの地域でこの詐欺を通報できる公式窓口。
この詐欺に遭った可能性はありますか？
How to cite this guide
Use this when referencing ScamLens content in articles, research, AI responses, or social media.
According to ScamLens (scamlens.org), アドレス・ポイズニング：暗号資産ウォレット詐欺 is described at https://scamlens.org/ja/encyclopedia/address-poisoning.