偽の暗号資産ウォレットアプリ：詐欺的なデジタルウォレットの見分け方

主な手口

• • ほぼ同一のモバイルアプリを作成し、詐欺的なロゴとUIを使用して、わずかに異なる名前（MetaMask2、TrustWalletProなど）を付け、サードパーティアプリストアまたは直接APKファイルで配布する。
• • ターゲット型のソーシャルメディア広告と検索エンジン広告に金を払い、偽のアプリダウンロードページに誘導し、「MetaMaskダウンロード」や「暗号ウォレットアプリ」などのフレーズでGoogleの検索結果の上位に表示させる。
• • ウォレット「復元」時にユーザーがシードフレーズと秘密鍵を入力した瞬間にそれらをキャプチャする悪意のあるコードを埋め込み、その後自動的に資金を攻撃者のウォレットに転送する。
• • 偽のYouTubeチュートリアルとDiscordガイドを投稿し、偽のウォレットアプリへのダウンロードリンクを含め、通常は数千の偽の肯定的レビューとアプリを称賛するユーザーコメントを付ける。
• • 正規のウォレットウェブサイトを模倣するフィッシングランディングページを使用し、目立つダウンロードボタンを配置して悪意のあるAPKや偽のアプリのインストールプロンプトに導く。
• • 侵害されたソーシャルメディアアカウント、Telegramグループ、Redditの投稿を通じてアプリを配布し、「復元」を支援する正規のウォレットサポートチャネルとして振る舞う。

見分け方

• そのアプリが公式アプリストア（Apple App Store、Google Play Store）で利用できない、またはAPKファイルを通じたサイドロードが必要である。正規のウォレットは公式チャネルで利用可能です。
• アプリのインターフェースはほぼ完璧に見えるが、微妙な違いがある：ロゴが少し異なる、フォントの太さが異なる、実際のバージョンと比べてメニュー項目の位置が異なるなど。
• シードフレーズを入力した後、アプリが誤解を招く「同期中」メッセージを表示するか、フリーズし、実際のウォレットアカウントに接続していないにもかかわらず資金を表示する。
• そのアプリが即座にクリップボード、連絡先、カメラ、位置情報へのアクセス許可を要求する。正規のウォレットは基本的なウォレット機能にこれらの機能を必要としません。
• 公式ウェブサイトでそのアプリが見つからず、公式企業のソーシャルメディアを検索しても、このバージョンについてのお知らせがない。
• そのアプリが使用後に資金が失われたことについての低評価レビューを受けています。ただし、偽造レビューがしばしば追加されて信頼性を高めるため、投稿日時とレビュアーの履歴を確認してください。

身を守る方法

• ウォレットアプリは公式ソースからのみダウンロードしてください。主流のウォレットはApple App StoreとGoogle Play Storeから、デスクトップバージョンは正規のウォレットウェブサイトから直接ダウンロードしてください。発行元の名前が正規の組織の名前と一致することを確認してください。
• お使いの電話の「不明なソース からのインストール」を制限に設定して、サイドロードとAPKインストールを無効にし、誤ってマルウェアをインストールするのを防いでください。
• シードフレーズを入力する前に、正規のアプリのスクリーンショットを撮影し、新しいインストール時のインターフェース詳細とピクセル単位で比較してください。フォント、ボタン間隔、色のグラデーションを確認してください。
• 相当な金額の暗号資産を保管する場合は、ハードウェアウォレット（Ledger、Trezor、SafePal）を使用してください。ハードウェアウォレットは秘密鍵をオフラインで保存し、携帯電話のマルウェアに侵害されることはありません。
• ダウンロード前にアプリの正当性を確認してください。正規ウェブサイトのアプリ推奨事項を確認し、確立された暗号資産出版物のレビューを読み、公式開発者アカウントのバッジを確認してください。
• 既に疑わしいアプリにシードフレーズを入力してしまった場合は、そのシードフレーズを正規のウォレットにインポートして活動を確認し、何か動きが検出された場合は新しいシードフレーズのアカウントにすべての資金を移してください。

実例

よくある質問

通報窓口 — 日本

お住まいの地域でこの詐欺を通報できる公式窓口。