Web3の世界では、あなたが普通のプレイヤーであろうと、高ネットワース投資家であろうと、プロジェクトの関係者であろうと、回避できないリスクの1つは詐欺です。
Chainalysisが発表した（The Chainalysis 2025 Crypto Crime Report）によれば、2024年のグローバルなオンチェーン犯罪総額は240億ドルに達し、その内訳は以下の通りです：
詐欺関連の取引規模は99億ドルに達し、詐欺、フィッシングサイト、虚偽の投資プロジェクトが特に多発しています。
資金の盗取額は22億ドルを超え、60%以上が秘密鍵の漏洩やソーシャルエンジニアリングフィッシングに起因しています。
ランサムウェアや市場操縦などの犯罪行為も頻繁に発生しています。
しかし、これらの事件を振り返ると、警戒すべき共通点が見つかります——技術がどれだけ進化しても、最終的な突破口は「人間性」そのものです。
そうです、オンチェーン犯罪の「標準装備」は、Portal Labsが語る社交工学攻撃です。
ソーシャルエンジニアリング攻撃とは何ですか？
現実は、最も攻撃されやすいのは技術ではなく、人間性であることを教えてくれます。
これが、ソーシャルエンジニアリング攻撃（Social Engineering Attack）の核心です。
ソーシャルエンジニアリング攻撃はコードレベルの脆弱性に依存せず、偽装、誘導、操作を通じて、あなたから自発的に敏感な情報を渡させたり、危険な操作を実行させたりします。
高い技術的な攻撃のコストに比べて、ソーシャルエンジニアリング攻撃はコストが低く、成功率が高いです。詐欺、資金盗取、または恐喝に関しても、大部分の事例の第一歩は、あなた自身が「確認」をクリックすることです。
すべてのソーシャルエンジニアリングの手口をまとめると、実際には以下の三つの手法に帰結します：
権威を偽装します。偽のカスタマーサービス、公式の担当者、パートナーとして「一見信頼できる」身分を使い、あなたの警戒を下げます。
緊急感を作り出します。アカウントの異常、トークンのエアドロップ、独占的な投資機会……「今操作しなければ損をする」という心理にあなたを陥れます。
信頼の閉ループを構築します。あなたを偽のグループに引き入れ、友人やKOLになりすまし、集団で洗脳し、あなたを一歩ずつ罠に誘導します。
注目すべきは、ソーシャルエンジニアリング攻撃が体系化、専門化して進化していることです。
Chainalysisはまた、過去3年間で詐欺グループがAIフェイストランスフォーメーション、大データプロファイリング、自動化投放技術を採用し、異なるユーザーグループに対してトークやプロセスを設計していることを指摘しています。
将来的には、個人の警戒心だけではすべてのリスクを防ぐのは不十分かもしれません。体系的な安全策、クロスチェーンリスク管理、コア権限の隔離が、高ネットワースプレイヤーやプロジェクトの「標準構成」となるでしょう。
典型的なシナリオと実際のケース
技術的な攻撃とは異なり、ソーシャルエンジニアリング攻撃のターゲットは明確で、通常は個人または組織の特定の人物に対して行われます。ハッカーはWeb3内の異なる人々の行動習慣に基づいてトークをカスタマイズし、シナリオを設計し、正確に収穫します。一般的な手口には以下の種類が含まれます：
普通のプレイヤーに対して
最も一般的な手口は「偽の公式カスタマーサービス」で、あなたに積極的にプライベートメッセージを送り、アカウントに異常がある、資金が凍結されているなどと偽って、リカバリーフレーズを確認させたり、操作を行わせたりし、あなたの資産を瞬時に転送させます。
最近、オーストラリア当局は、偽の暗号取引所Binanceになりすました詐欺団体を取り締まりました。これらの詐欺師は被害者に偽のホットラインに電話させ、資金をハッカーが制御するウォレットに移動させました。
また、「無料エアドロップ」や「NFTお年玉」型のフィッシングリンクも頻繁に見られます。Chainalysisの報告に記載されているCrypto Drainersの多くはこの種のケースに該当し、2024年1月に発生した攻撃事件は特に笑いを誘います。当時、詐欺師はアメリカ証券取引委員会（SEC）のソーシャルアカウントをハッキングし、虚偽のエアドロップを発表してユーザーを誘導し、偽のトークンを受け取るためにウォレットを接続させ、結果的に資産が盗まれました。
また、TelegramやDiscordで特に活発な「偽取引グループ」があります。攻撃者は通常、公式の担当者を偽ったり、友人のアカウントを盗んであなたをグループに招待します。グループに入ると、あなた以外はほとんど詐欺師やボットであり、彼らは偽のプロジェクトや高いリターンの機会を頻繁に押し付け、あなたを引き込もうとします。
高ネットワース投資家に向けて
高ネットワースの人々に対して、攻撃の手口は通常、よりカスタマイズされています。
攻撃者はLinkedInやTwitterなどのチャネルを通じて、有名なKOLやファミリーオフィスのパートナー、ファンドマネージャーになりすまし、「独占的な資金調達」や「内部投資機会」などの餌を投げ、偽のソーシャルアカウントや投資書類を組み合わせて、閉鎖的な「信頼のサークル」を作り出します。
Chainalysisの報告は特に、2024年に詐欺チームが虚偽のファミリーオフィス詐欺を利用し、多くの高ネットワース投資家を騙し、累計で数千万ドルの被害をもたらしたことを指摘しています。
さらに、SIMカード交換攻撃も多発しています：詐欺師は通信会社を説得して電話番号を移転させ、それを利用して取引所のアカウントパスワードをリセットし、資金を管理します。
Web3プロジェクトの関係者に向けて
プロジェクトチームは、協力の招待、ビジネス展開、技術接続などの詐欺に直面することがよくあります。
例えば、ハッカーは著名なCEXの責任者やエコシステムパートナーになりすまし、オンライン会議を招待し、実際には偽のZoomビデオリンクまたは悪意のある契約書を送信します。
2024年、慢雲は複数のハッカーによる偽のビデオ会議リンク事件を公開し、ターゲットはプロジェクトのマルチシグ権限や秘密鍵管理層でした。また、Chainalysisの報告にあるHuione Guaranteeプラットフォームは、詐欺グループにAIフェイストランスフォーメーションや偽のKYCなどのサービスを提供し、CEOやCTOのイメージビデオを偽装して財務権限をだまし取るのを助けました。
さらに、攻撃者は「SDKアップグレードパッケージ」や「APIドキュメント」という名目で開発チームに悪意のあるコードリンクを投げかけ、ダウンロードを誘導することがよくあります。
Web3求職者を対象に
ソーシャルエンジニアリング攻撃は同様に「求人」や「アルバイト」情報の中でも頻繁に発生します。
攻撃者はプロジェクトのHRや主要プラットフォームの採用担当者になりすましたり、偽の求人サイトを作成して高給のポジションを発表し、求職者を引き付けます。一旦信頼が築かれると、次に偽の面接リンクをクリックさせたり、悪意のあるファイルをダウンロードさせたり、さらにはいわゆる「タスクプラットフォーム」に入らせ、注文を偽って資金をだまし取ります。
Chainalysisの報告によると、2024年には詐欺チームが虚偽の求人を新たなビジネスラインとして利用し、被害者を持続的に資金投入させ、引き出しができなくなるまで続けました。さらに、慢雲は多くの求職詐欺を監視しており、攻撃者は偽の求人招待を通じて悪意のあるリンクを送信し、ウォレットの権限や敏感な情報を盗みます。
ソーシャルエンジニアリング攻撃を防ぐにはどうすればよいですか？
あなたは詐欺師があなたに近づくのを永遠に止めることはできませんが、彼らに手を出す機会を与えないことはできます。
核心的な考え方は1つだけです：誘惑、恐喝、信頼の範囲に対する感受性を高め、技術的な防御を併せて行うことです。
すべての情報は公式チャネルのみを信じるべきです。公式ウェブサイトで公開されているメールアドレス、Twitterアカウント、Discordグループを通じて必ずクロス検証を行ってください。
フィッシング対策プラグインをインストールします。Wallet GuardやPhishFortのようなフィッシング対策プラグインは、すでにマークされたフィッシングサイトや悪意のあるリンクを効果的にブロックします。
秘密鍵を絶対に渡さず、署名権限には慎重であるべきです。どんな正規のプラットフォームやプロジェクトも、あなたの秘密鍵やリカバリーフレーズを求めることはありません。契約書に署名する前に、必ず契約の出所と呼び出し権限を確認してください。
プロジェクトチームとコアメンバーはビジネス接続を厳しく管理するべきです。コアメンバーのメールはフィッシング保護をオンにし、ファイルの受け取りにはサンドボックス環境を使用し、確認されていないSDK/APIの招待を拒否することを推奨します。
ウォレットを階層化し、資産を分散します。コールドウォレットとハードウェアウォレットの組み合わせをお勧めし、日常操作のウォレット、投資用ウォレット、ストレージ用ウォレットを階層的に隔離し、多署名で保護を強化します。
「5分間停止」という反応遅延の習慣を身につけます。送金や緊急操作に関わる場合は、強制的に5分間停止し、確認してから操作します。ソーシャルエンジニアリングの詐欺は、あなたが冷静になることを最も恐れています。
Web3投資の第一歩は、利益を追求するのではなく、まず元本を守ることを学ぶことです。
詐欺師にどんな機会も与えないでください。