🚨 DNSハイジャック攻撃がFlap.shを標的に：暗号資産コミュニティ全体への重大な警鐘

2026年10月31日、暗号資産ローンチパッドのFlap.shがDNSハイジャック攻撃の標的となり、訪問者は正規のウェブサイトから無許可の悪意あるページへリダイレクトされました。
このインシデントは、Web3における重要な現実を浮き彫りにしています。よく知られ、確立された暗号資産プラットフォームでさえ、高度な攻撃の標的になり得るのです。
🔎 何が起きたのか？
Flapのチームは、公式ドメインのflap.shがDNSレベルで侵害されたことを公に警告しました。
正規のプラットフォームにアクセスする代わりに、訪問者は元のインターフェースを模倣し、ウォレットの接続や悪意のあるトランザクションへの署名をユーザーに促す不正なウェブサイトへリダイレクトされる可能性がありました。
セキュリティ企業Blockaidも、他のDeFiウェブサイトに影響を及ぼしている同じ悪意あるインフラを特定しました。
悪意のあるページは、ウォレットから資産を抜き取る活動に関連しており、危険な取引署名やトークンの使用承認を得ようとする試みが含まれていました。
🛡️ Flapはどのように対応したのか？
Flapチームは、ユーザーへの警告、影響を受けたフロントエンドへのアクセス制限、代替ドメインの導入を行いました。
その後、プロジェクトはflap.shが復旧したと発表しました。しかし後に、公式ウェブサイトを次のドメインに移行しました：
https://flap.cool
移行と調査が続く間、ユーザーには新しいドメインへ直接アクセスし、flap.shを通じてウォレットを接続したり取引に署名したりしないよう、特に注意が促されました。
DNS侵害の正確な原因は、引き続き調査中です。
盗まれた資金や影響を受けたウォレットの総数について、独立した検証を経た数字は公表されていません。
⚠️ なぜすべての暗号資産ユーザーが気にかけるべきなのか？
このインシデントは、ウェブサイトのセキュリティとブロックチェーンのセキュリティが同じではないことを示しています。
ウェブサイトが完全に正規のものに見えても、ドメインによって訪問者が攻撃者のインフラへリダイレクトされることがあります。
正しいアドレスを入力し、見慣れたデザインを確認していても、悪意のあるインターフェースを利用してしまう可能性があります。
暗号資産の世界では、不注意な署名ひとつで資産が危険にさらされることがあります。
🔐 暗号資産を守るための10の基本ルール
1. ウェブサイトのアドレスを必ず確認する。
スペル、ドメインの拡張子、予期しないリダイレクトを確認しましょう。検索広告や転送されたリンクに頼らず、公式ウェブサイトをブックマークしてください。
2. 不特定のウォレット接続リンクを決して信用しない。
Telegramの迷惑メッセージ、SNSのコメント、ダイレクトメッセージに記載されたリンクからウォレットを接続するのは避けましょう。
3. シードフレーズや秘密鍵を決して共有しない。
正規のプロジェクト管理者やサポート担当者が、これらを求めることはありません。
4. ウォレットの署名リクエストをよく確認する。
署名が常に無害とは限りません。資産の送金を許可したり、資産へのアクセス権を与えたりする署名もあります。
5. トークンの承認について理解する。
Approve、Permit、Permit2のリクエストは、トークンの使用許可を与える場合があります。なぜ必要なのかを理解しないまま、無制限のアクセスを許可しないでください。
6. ウォレットを使い分ける。
実験的なdAppには専用のウォレットを使い、長期保有する資産は別のウォレットに保管しましょう。
7. 不要な許可を確認して取り消す。
https://revoke.cash などの信頼できるツールを使って、トークンの使用許可を確認しましょう。ウォレットを接続する前に、必ずドメインを確認してください。
8. アカウントを保護する。
取引所、メールアカウント、ドメイン登録業者のアカウントでは、強力な二要素認証を有効にしましょう。
9. 少しでもおかしいと感じたら中断する。
予期しないリダイレクト、不審なウォレットのプロンプト、緊急性をあおる警告、取引の再試行を求めるリクエストは、危険の兆候として扱いましょう。
10. 公式のセキュリティ発表を確認する。
セキュリティインシデントの発生中にプラットフォームを利用する際は、複数の公式情報発信チャンネルで確認しましょう。
🚨 不審なウェブサイトをすでに利用してしまった場合は？
- そのウェブサイトの利用を中止する。
- ウォレットの取引履歴とトークンの承認状況を確認する。
- 検証済みのツールを使って、不審な許可を取り消す。
- 悪意のある承認に署名した場合、またはウォレットが侵害された疑いがある場合は、残りの資産を新しく作成した安全なウォレットに移す。
- 検証済みの公式チャンネルを通じて、プラットフォームに連絡する。
覚えておきましょう。ウォレットを接続しただけで、資金が自動的に盗まれるわけではありません。実際のリスクは、どのような許可を与えたか、またはどのような署名を承認したかによって異なります。
最後に
Web3は私たちに経済的な自由をもたらしますが、その自由には自己責任が伴います。
セキュリティは、取引所や開発者、ブロックチェーンプロジェクトだけの責任ではありません。すべてのユーザーがセキュリティの一端を担っています。
Flapのインシデントは、信頼を検証の代わりにしてはならないことを改めて示しています。
最新情報を把握しましょう。接続する前に確認しましょう。署名する前に読みましょう。資産を守りましょう。
— CHABARAKA 💚
2026年10月31日時点の情報です。Flapのインシデントは引き続き調査中です。
情報源：
- Flap公式のインシデント情報：https://x.com/FlapOfficial
- Blockaidのセキュリティ警告：https://x.com/Blockaid_
- インシデント報告：https://tsnmedia.org/flap-kintsu-dns-hijack/