「利益が出る」表示が罠？ウォレットの事前確認を欺く手口とは

ウォレットに搭載された取引シミュレーション機能が、実際には資金が攻撃者に送られる取引を「わずかな利益が出る」と表示してしまう手口が報告されました。7月30日にarXivで公開されたプレプリント（査読前論文）によると、この手法は5,742の被害アドレスと約348万ドルの過去の損失に結び付けられているとされています。

研究チームはコントラクトのバイトコードを解析する検出ツールSimGuardを用い、イーサリアム、BNB Smart Chain、Avalanche、Polygonの4チェーンで4,224件の該当コントラクトを特定。関連する被害取引は6,223件とされますが、攻撃者自身のテストが混入している可能性があるとして損失額は上限値と位置づけられています。損失の91.5%はイーサリアム上に集中していたとのことです。

仕組みは、署名前の事前確認と実際の実行で異なる分岐を通るように設計されている点にあります。事前確認では預けた資金に少額の報酬が加わる結果を返し、その後に攻撃者が利用者のアドレスをブラックリストに登録するなど状態を変更すると、実行時には資金が攻撃者のアドレスへ送られます。ブロックのタイムスタンプやガス上限の差を利用する変種も確認されています。

論文は査読を経ておらず、Avalancheの件数や観測期間の記述に食い違いが残るとされています。また、被害者が使っていたウォレットのバージョンや設定も特定されていません。MetaMaskの公式文書も、残高変化の表示はあくまで予測であり結果を保証しないと注意を促しています。

研究者は送金の総額を差引後の変化と併記する表示方法などを提案しており、ウォレット側の設計が改めて問われそうです。

【PR】最大6%還元クレカの無料獲得チャンス！

抽選で26名が25ドル〜250ドル相当の賞品を獲得できる豪華キャンペーンが期間限定で開催中！

仮想通貨クレカ「Tria」のカード購入（無料プラン有）+ かんたんタスクで最大6%キャッシュバックのクレジットカードを実質無料で獲得できるチャンスです。是非この機会に参加しましょう（→参加はこちら）

Triaカードとは？

① 仮想通貨で決済可能なクレジットカード

② BTCやETH、JPYCなど1,000種類以上の仮想通貨に対応

③ 累計決済額3,000万ドル、ユーザー数30万人以上の実績

キャンペーン詳細を見る

記事ソース：資料