Coinbaseユーザーに対するソーシャルワーカー詐欺の脅威とその対処法

最近、暗号資産分野における社会工学的攻撃がユーザー資金の安全に重大な脅威となっています。2025年以来、ある取引プラットフォームのユーザーを対象としたソーシャルエンジニアリング詐欺事件が頻発し、業界の広範な関心を引き起こしています。コミュニティの議論からも、このような事件は個別のケースではなく、持続的かつ組織化された特徴を示しています。

5月15日、ある取引プラットフォームが発表を行い、プラットフォームに"内鬼"が存在するという以前の推測を確認しました。アメリカ司法省はこのデータ漏洩事件について調査を開始しました。

この記事では、複数のセキュリティ研究者と被害者から提供された情報を整理することで、詐欺師の主な手口を明らかにし、プラットフォームとユーザーの2つの視点から効果的な対策について探ります。

歴史の振り返り

安全研究員のZachは5月7日のソーシャルメディアの更新で指摘しました："たったの1週間で、社会工学的詐欺によりある取引プラットフォームのユーザーから4,500万ドル以上が盗まれました。"

過去一年にわたり、ZachはSNSでその取引プラットフォームのユーザーが盗難に遭った事件を何度も公表し、一部の被害者は千万ドル以上の損失を被った。Zachが2025年2月に発表した詳細な調査によれば、2024年12月から2025年1月の間に、このような目薬によって引き起こされた資金損失の総額は既に6,500万ドルを超えている。また、彼はこのプラットフォームが深刻な"ソーシャルエンジニアリング詐欺"の危機に直面しており、この種の攻撃は年平均3億ドルの規模でユーザーの資産安全を持続的に侵害していることを明らかにした。

ザックは指摘した：

• この種の目薬を主導するグループは主に二つのタイプに分かれます：一つは特定のサークルからの低級攻撃者、もう一つはインドに拠点を置くサイバー犯罪組織です；
• 詐欺団の攻撃対象は主にアメリカのユーザーで、手口は標準化され、トークフローは成熟している；
• 実際の損失額は、公開されていない情報であるカスタマーサポートのチケットや警察の事件報告などを含まないため、ブロックチェーン上の可視統計よりもはるかに高い可能性があります。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にする場合

詐欺の手口

この事件では、取引プラットフォームの技術システムは攻撃されておらず、詐欺師は内部社員の権限を利用して、一部のユーザーのセンシティブな情報を取得しました。これらの情報には、氏名、住所、連絡先、アカウントデータ、身分証明書の写真などが含まれます。詐欺師の最終的な目的は、社会工学的手法を利用してユーザーに送金させることです。

この種の攻撃方法は、従来の「網を張る」フィッシング手法を変え、「精密攻撃」に移行し、まさに「カスタムメイド」のソーシャルエンジニアリング詐欺と称されます。典型的な犯行パターンは以下の通りです：

1. "公式カスタマーサービス"としてユーザーに連絡する

詐欺師は偽の電話システムを使用してプラットフォームのカスタマーサービスを装い、ユーザーに「アカウントが不正ログインに遭遇しました」や「出金異常が検出されました」と電話をかけ、緊急の雰囲気を作り出します。その後、彼らは偽のフィッシングメールやSMSを送信し、虚偽のチケット番号や「復旧プロセス」リンクを含めてユーザーに操作を促します。これらのリンクは、クローンされたプラットフォームのインターフェースに指し示す可能性があり、さらには公式ドメインからのように見えるメールを送信することもできます。一部のメールはリダイレクト技術を利用してセキュリティ保護を回避しています。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

2. ユーザーに公式ウォレットをダウンロードするように導く

詐欺師は「資産を保護する」という理由で、ユーザーに資金を「安全なウォレット」に移動させるように導き、さらに公式ウォレットのインストールを手伝い、プラットフォームに保管されていた資産を新たに作成したウォレットに移すように指示します。

3. ユーザーを騙す者が提供するニーモニックフレーズを使用するよう誘導する

従来の"目薬を騙し取る"とは異なり、詐欺師は自分たちが生成した一組の助記詞を直接提供し、ユーザーにそれを"公式の新しいウォレット"として使わせるように誘導します。

4. 詐欺師が資金を盗む

被害者は緊張し、不安を抱き、"カスタマーサービス"を信頼している状態で、罠に陥りやすい。彼らにとって、"公式提供"の新しいウォレットは、"疑わしく侵害された"古いウォレットよりも安全であることは明らかである。結果として、一度資金がこの新しいウォレットに転送されると、詐欺師はすぐにそれを移動させることができる。"あなたが管理していないキーは、あなたが所有していないコイン"——社会工学的攻撃の中で、この理念は再び血生臭く証明された。

さらに、一部のフィッシングメールは「集団訴訟の判決により、プラットフォームは完全に自己管理ウォレットに移行します」と主張し、ユーザーに4月1日までに資産の移行を完了するよう求めています。ユーザーは、切迫した時間のプレッシャーと「公式の指示」という心理的暗示の下で、操作に協力しやすくなります。

安全研究者によると、これらの攻撃はしばしば組織的に計画され、実施される。

• 詐欺ツールチェーンの整備：詐欺師はPBXシステムを使用して着信番号を偽造し、公式カスタマーサービスの着信を模倣します。フィッシングメールを送信する際には、ソーシャルプラットフォーム上のボットを利用して公式メールアドレスを偽装し、「アカウント回復ガイド」を添付して送金を誘導します。
• 目標精密：目薬はSNSチャネルやダークウェブから購入した盗まれたユーザーデータに依存し、米国のユーザーを主要なターゲットに絞り込み、さらにはAIツールを利用して盗まれたデータを処理し、電話番号を分割・再構成し、バッチでTXTファイルを生成し、最後にブルートフォースソフトウェアを通じてSMS詐欺を送信します。
• 誘導プロセスが一貫している：電話、SMS、メールから、詐欺の経路は通常シームレスに連携しています。一般的なフィッシング表現には「アカウントに出金リクエストがありました」、「パスワードがリセットされました」、「アカウントに異常なログインがあります」などが含まれ、被害者を「安全確認」へと持続的に誘導し、最終的にウォレットの移転を完了させます。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

チェーン上分析

オンチェーンのマネーロンダリングおよび追跡システムを通じて、一部の詐欺者のアドレスを分析したところ、これらの詐欺者は強力なオンチェーン操作能力を持っていることがわかりました。以下は重要な情報です：

詐欺師の攻撃対象は、ユーザーが保有するさまざまな資産をカバーしており、これらのアドレスの活発な期間は2024年12月から2025年5月まで集中しています。対象資産は主にBTCとETHです。BTCは現在最も主要な詐欺のターゲットであり、複数のアドレスが一度に得る利益の金額は数百BTCに達し、1件あたりの価値は数百万ドルにのぼります。

資金を取得した後、詐欺者は迅速に一連の洗浄プロセスを利用して資産の交換と移転を行います。主なモデルは以下の通りです：

• ETH類の資産は、通常、あるDEXを通じて迅速にステーブルコインに交換され、その後、複数の新しいアドレスに分散して移動され、一部の資産は中央集権型取引所に入ります；
• BTCは主にクロスチェーンブリッジを介してイーサリアムにクロスチェーンされ、その後ステーブルコインに交換され、追跡リスクを回避します。

複数の目薬アドレスは、ステーブルコインを受け取った後も"静置"状態にあり、まだ移動されていません。

自分のアドレスが疑わしいアドレスと相互作用し、資産が凍結されるリスクに直面しないように、ユーザーは取引前にオンチェーンのマネーロンダリングおよび追跡システムを使用して、ターゲットアドレスのリスク検出を行うことをお勧めします。潜在的な脅威を効果的に回避するために。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを狙うとき

対策

プラットフォーム

現在の主流の安全手段は主に"技術層"の防護ですが、ソーシャルエンジニアリング詐欺はこれらのメカニズムを回避し、ユーザーの心理や行動の隙間を直接突いてきます。したがって、プラットフォームにはユーザー教育、安全トレーニング、使いやすさの設計を統合し、"人に焦点を当てた"安全防線を構築することをお勧めします。

• 定期的な詐欺防止教育コンテンツの配信：アプリのポップアップ、取引確認画面、メールなどを通じてユーザーのフィッシング防止能力を向上させる；
• リスク管理モデルの最適化と「インタラクティブ異常行動認識」の導入：ほとんどのソーシャルエンジニアリング詐欺は、短期間にユーザーに一連の操作（送金、ホワイトリスト変更、デバイスバインディングなど）を行わせることが多い。プラットフォームは、行動チェーンモデルに基づいて疑わしいインタラクションの組み合わせ（「頻繁なインタラクション + 新しいアドレス + 大額の引き出し」など）を特定し、冷却期間または手動レビューのメカニズムをトリガーする必要がある。
• カスタマーサービスのチャネルと検証メカニズムを規定する：詐欺師はしばしばカスタマーサービスを装ってユーザーを惑わすため、プラットフォームは電話、SMS、メールのテンプレートを統一し、"カスタマーサービス検証入口"を提供し、唯一の公式コミュニケーションチャネルを明確にし、混乱を避けるべきです。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

ユーザー

• 身分隔離ポリシーを実施する: 複数のプラットフォームで同じメールアドレスや電話番号を共有しないようにし、連帯リスクを低減します。漏洩チェックツールを使用して、定期的にメールアドレスが漏洩していないか確認できます。
• 送金ホワイトリストと引き出しクールダウンメカニズムを有効にする：信頼できるアドレスを事前設定し、緊急時の資金流出リスクを低減します。
• セキュリティ情報を継続的にフォロー：セキュリティ会社、メディア、取引プラットフォームなどのチャネルを通じて、攻撃手法の最新動向を把握し、警戒を怠らない。現在、複数のセキュリティ機関がWeb3フィッシング演習プラットフォームを開発中であり、このプラットフォームは、ソーシャルエンジニアリングによる毒物投与、署名フィッシング、悪意のある契約インタラクションなど、さまざまな典型的なフィッシング手法をシミュレートし、過去の議論で収集した実際のケースを組み合わせて、シナリオ内容を継続的に更新する。ユーザーがリスクのない環境で識別能力と対応能力を高めることができるようにする。
• オフラインリスクとプライバシー保護に注意：個人情報の漏洩は人身安全の問題を引き起こす可能性があります。

これは杞人の憂いではない。今年に入ってから、暗号業界の従事者/ユーザーは、多くの人身安全に対する脅威に直面してきた。今回漏洩したデータには、名前、住所、連絡先、アカウントデータ、身分証明書の写真などが含まれているため、関連するユーザーはオフラインでも警戒を強め、安全に注意する必要がある。

総じて言えば、疑いを持ち続け、継続的に検証することです。緊急の操作が関わる場合は、必ず相手に自己証明を求め、公式な手段で独立して確認し、プレッシャーの下で不可逆的な決定を下すことを避けてください。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

まとめ

今回の事件は、ますます成熟するソーシャルエンジニアリング攻撃手法に直面して、業界が顧客データと資産保護において依然として明らかな短所を抱えていることを再度浮き彫りにしました。警戒すべきは、たとえプラットフォームの関連部門が資金権限を持っていなくても、十分な安全意識や能力が欠如している場合、意図せずに情報が漏洩したり、別の意図に利用されたりすることで深刻な結果を招く可能性があるということです。プラットフォームの規模が拡大するにつれて、人的安全管理の複雑性も増し、業界にとって最も克服が難しいリスクの一つとなっています。したがって、プラットフォームはチェーン上の安全メカニズムを強化するだけでなく、内部スタッフおよび外部サービスをカバーする"ソーシャルエンジニアリング防御システム"を体系的に構築し、人為的リスクを全体的な安全戦略に組み込む必要があります。

さらに、一度攻撃が孤立した事件ではなく、組織的かつ大規模な継続的脅威であることが判明した場合、プラットフォームは直ちに対応し、潜在的な脆弱性を積極的に調査し、ユーザーに警告し、損害の範囲を制御する必要があります。技術と組織の両面での二重対応によってのみ、ますます複雑化する安全環境の中で、真に信頼と限界を守ることができるのです。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき