256万ドル、70以上のウォレット。プッシュ通知を開いてから資金が空になるまで、わずか6分でした。

NGRAVEは本日（10月21日）、今回のフィッシング攻撃の全容をメディアに明らかにしました。同社の関連アプリLIQUIDが利用していたサードパーティーのプッシュ通知サービスがハッカーに乗っ取られ、10月17日土曜日、ユーザーはアプリ内で「公式」からのセキュリティ警告を受け取りました。リンク先は偽サイトで、24単語のシードフレーズ、またはPerfect Keyを入力するよう求めていました。

通知が送信されてから6分後、最初のウォレットが空になり、スクリプトによって暗号資産が自動的に送金されました。現在の集計では、約70のアドレスから256万ドルが失われています（オンチェーンデータ分析会社Bitqueryの集計では84のウォレット、265万ドル）。被害が最も大きかったのはビットコインで、177万ドルに上ります。NGRAVEは、ハードウェアウォレット自体が侵害されたわけではなく、ユーザー自身がシードフレーズを渡してしまったと強調しています。また、デバイス情報、ウォレットの利用状況、IPアドレス、おおよその位置情報も漏えいした可能性があり、被害者は今後、より巧妙な二次詐欺の標的になるおそれがあります。

なぜこの件は、私たち個人投資家一人ひとりにとって身近な問題なのでしょうか。第一に、フィッシングメッセージはアプリのプッシュ通知として直接表示され、見た目も公式のものとそっくりでした。誰もがつい信じてしまう経路であり、最も危険なタイプのフィッシングです。第二に、いまだに多くの人が「シードフレーズをデバイスの画面以外で一度でも入力したら、そのウォレットはもう使えない」ということを反射的に判断できていません。第三に、盗難後は個人情報がハッカーの手に渡り、「公式サポート」や「セキュリティチーム」を名乗る人物が接触して、追い打ちをかけてくる可能性があります。

今すぐ実践できる対策は3つです。第一に、シードフレーズや秘密鍵は、ハードウェアウォレットのデバイス画面上でのみ扱ってください。ウェブサイトでも、アプリでも、誰かに求められても、入力を促されたら詐欺だと判断してください。第二に、セキュリティ警告やアップグレード通知を受け取ったら、まず公式サイトでドメインを確認し、公式告知チャンネルでも照合してください。プッシュ通知内のリンクは絶対にクリックしないでください。第三に、シードフレーズを電子機器やウェブサイトに入力したことがある場合は、今すぐ新しいウォレットを作成して資産を移してください。大丈夫だろうと楽観視しないでください。

これまでに受け取った、最も本物らしく見えたフィッシングメッセージはどんなものでしたか？コメント欄で共有して、みんなで注意喚起しましょう。

#NGRAVE #钱包安全 #钓鱼 #防骗

—— web3韭菜小凯

免責事項：この記事はセキュリティ情報の共有と啓発を目的としたものであり、投資助言を構成するものではありません。暗号資産の取引には非常に高いリスクが伴います。慎重に判断してください。