社会工学目薬はあるプラットフォームのユーザーを狙う：暗い森の"カスタマーサービス"

最近、暗号資産分野における社会工学的攻撃がユーザーの資金安全に対する重大な脅威となっています。2025年以来、ある有名な取引プラットフォームのユーザーを対象としたソーシャルエンジニアリング詐欺事件が頻繁に発生し、コミュニティの広範な関心を引き起こしています。これらの事件は孤立した事例ではなく、持続的かつ組織的な特徴を持つ目薬の一種です。

5月15日、そのプラットフォームは公告を発表し、プラットフォーム内部に"内鬼"が存在するという様々な憶測を確認しました。報告によれば、アメリカ司法省はこのデータ漏洩事件に対する調査を開始したとのことです。

本文は複数のセキュリティ研究者や被害者から提供された情報を整理することで、詐欺師の主要な手口を明らかにし、プラットフォームとユーザーの二つの視点から、どのように効果的にこのような目薬に対処するかを探ります。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にする場合

履歴分析

チェーン上の探偵Zachは5月7日のソーシャルプラットフォームの更新で、過去1週間で社会工学詐欺により、4,500万ドル以上がこのプラットフォームのユーザーから盗まれたと述べました。

過去一年の間に、Zachはこのプラットフォームのユーザーが盗難に遭った事件を何度も公表し、個別の被害者の損失は数千万ドルに達しています。彼は2025年2月に詳細な調査を発表し、2024年12月から2025年1月の間に、類似の目薬による盗難の総額が6,500万ドルを超えたと報告し、このプラットフォームが深刻な"ソーシャルエンジニアリング詐欺"の危機に直面していることを明らかにしました。この種の攻撃は年間3億ドルの規模で継続的にユーザーの資産の安全を侵害しています。彼はさらに指摘しました：

• この種の目薬を主導するグループは主に二つのタイプに分かれます。一つはCom圈からの低級攻撃者、もう一つはインドに拠点を置くサイバー犯罪組織です；
• 目薬団伙の攻撃目標はアメリカのユーザーが主で、犯行手法は標準化され、話術プロセスは成熟している；
• 実際の損失額は、取得できないカスタマーサポートのチケットや警察への通報記録などの未公開情報が含まれていないため、ブロックチェーン上で見える統計よりもはるかに高い可能性があります。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

詐欺の手口

今回の事件では、プラットフォームの技術システムは攻撃されていませんでした。詐欺者は内部社員の権限を利用して、部分的なユーザーのセンシティブ情報を取得しました。これらの情報には、氏名、住所、連絡先、アカウントデータ、身分証明書の写真などが含まれます。詐欺者の最終目的は、ソーシャルエンジニアリング手法を利用してユーザーに送金を促すことです。

このタイプの攻撃手法は、従来の「網を撒く」フィッシング手段を変更し、「精密攻撃」に移行し、まさに「カスタマイズ」されたソーシャルエンジニアリング詐欺と呼べるものです。典型的な犯罪の流れは以下の通りです：

1. "公式カスタマーサービス"の身分でユーザーに連絡する

詐欺師は偽の電話システムを使用してプラットフォームのカスタマーサービスを装い、ユーザーに電話をかけて「アカウントが不正ログインされた」とか「出金異常が検出された」と言い、緊急感を演出します。その後、彼らは偽のフィッシングメールやSMSを送信し、虚偽のチケット番号や「復旧プロセス」リンクを含めて、ユーザーに操作を促します。これらのリンクはクローンされたプラットフォームのインターフェースに指し示す可能性があり、公式ドメインからのように見えるメールを送信することもあります。一部のメールはリダイレクト技術を利用してセキュリティ保護を回避しています。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

2. ユーザーに自己管理型ウォレットのダウンロードを促す

詐欺師は「資産保護」を理由にユーザーに資金を「安全なウォレット」に移すように誘導し、自主管理ウォレットのインストールを手伝い、取引プラットフォームに保管されていた資産を新しく作成されたウォレットに移すように指示します。

3. ユーザーを詐欺師が提供するニーモニックフレーズを使用するように誘導する

従来の"助記詞を騙し取る"とは異なり、詐欺師は自分たちで生成した助記詞のセットを直接提供し、ユーザーに"公式の新しいウォレット"として使用させるように誘導します。

4. 詐欺師が資金を盗む

被害者は緊張し、不安を感じ、「カスタマーサービス」を信頼している状態では、簡単に罠に落ちてしまう——彼らにとって、「公式提供」の新しいウォレットは、「侵入の疑いがある」古いウォレットよりも安全に見える。結果として、一旦資金がこの新しいウォレットに移されると、詐欺師はすぐにそれを移動させることができる。Not your keys, not your coins.——この理念は、社会工学攻撃の中で再び血生臭く証明された。

さらに、一部のフィッシングメールは「集団訴訟の判決により、プラットフォームは完全に自己管理ウォレットに移行します」と主張し、ユーザーに4月1日までに資産の移行を完了するよう要求しています。ユーザーは切迫した時間のプレッシャーと「公式の指示」という心理的暗示の下で、操作により協力しやすくなります。

安全研究者によれば、これらの攻撃はしばしば組織的に計画され、実施される。

• 詐欺ツールチェーンが完備：詐欺師はPBXシステムを使用して発信者番号を偽造し、公式カスタマーサービスの電話を模倣します。フィッシングメールを送信する際には、ソーシャルプラットフォーム上のボットを利用して公式メールアドレスを偽装し、"アカウント回復ガイド"を添付して振込を誘導します。
• 目標の精度：目薬は、ソーシャルプラットフォームのチャネルやダークウェブから購入した盗まれたユーザーデータに依存し、米国のユーザーを主要なターゲットとして特定します。さらには、人工知能を利用して盗まれたデータを処理し、電話番号を分割再構築し、大量のTXTファイルを生成し、さらにブルートフォースソフトウェアを使ってSMS詐欺を行います。
• 誘導プロセスが一貫している：電話、SMS、メールから、詐欺のルートは通常シームレスに接続されており、一般的なフィッシングの文言には「アカウントに出金リクエストがありました」、「パスワードがリセットされました」、「アカウントに異常なログインがあります」などが含まれ、被害者に「セキュリティ確認」を継続的に誘導し、ウォレットの移転を完了するまで続きます。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを狙うとき

オンチェーン分析

チェーン上のマネーロンダリングおよび追跡システム分析によると、これらの詐欺者は強力なチェーン上の操作能力を備えており、以下は重要な情報です：

詐欺師の攻撃対象は、ユーザーが保有するさまざまな資産に及び、これらのアドレスの活発な期間は2024年12月から2025年5月の間に集中しています。ターゲット資産は主にBTCとETHです。BTCは現在最も主要な詐欺のターゲットであり、複数のアドレスが一度に得られる利益額は数百BTCに達し、単一の取引価値は数百万ドルに上ります。

資金取得後、詐欺師は迅速に一連の洗浄プロセスを利用して資産の交換と移転を行います。主なパターンは以下の通りです：

• ETH類資産は通常、特定のDEXを通じて迅速にDAIまたはUSDTに交換され、その後、複数の新しいアドレスに分散移転され、一部の資産は中心化取引所に入ります；

• BTCは主にクロスチェーンブリッジを介してイーサリアムにクロスチェーンし、DAIまたはUSDTに交換して追跡リスクを回避します。

複数の目薬アドレスはDAIまたはUSDTを受け取った後も"静置"状態にあり、まだ転送されていません。

自分のアドレスが疑わしいアドレスと相互作用し、資産が凍結されるリスクに直面しないように、ユーザーは取引前にオンチェーンのマネーロンダリングおよび追跡システムを使用してターゲットアドレスのリスク検出を行うことをお勧めします。潜在的な脅威を効果的に回避するために。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

対策

プラットフォーム

現在の主流の安全手段は、主に「技術レベル」の防護ですが、ソーシャルエンジニアリング詐欺はこれらのメカニズムを回避し、ユーザーの心理や行動の脆弱性を直接突きます。したがって、プラットフォームはユーザー教育、安全トレーニング、使いやすさの設計を統合し、「人に向けた」安全防線を構築することをお勧めします。

• 定期的に詐欺防止教育コンテンツを配信：アプリのポップアップ、取引確認画面、メールなどを通じてユーザーのフィッシング対策能力を向上させる；
• リスク管理モデルの最適化、「インタラクティブ異常行動認識」の導入：ほとんどのソーシャルエンジニアリング詐欺は、短期間でユーザーに一連の操作（転送、ホワイトリストの変更、デバイスのバインドなど）を完了させるように仕向けます。プラットフォームは、行動チェーンモデルに基づいて疑わしいインタラクションの組み合わせ（「頻繁なインタラクション + 新しいアドレス + 大額の引き出し」など）を識別し、クールダウン期間や手動再審査メカニズムをトリガーする必要があります。
• カスタマーサービスのチャネルと検証メカニズムを規定する：詐欺者はしばしばカスタマーサービスを装ってユーザーを混乱させるため、プラットフォームは統一された電話、SMS、メールテンプレートを提供し、"カスタマーサービス検証入口"を設け、唯一の公式コミュニケーションチャネルを明確にして混乱を避けるべきである。

! 暗い森の「カスタマーサービス」:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

ユーザー

• 身分隔離ポリシーの実施：複数のプラットフォームで同じメールアドレスや電話番号を共有しないようにし、連帯リスクを低減します。漏洩チェックツールを使用して、定期的にメールアドレスが漏洩していないか確認することができます。

• 送金ホワイトリストと出金クールダウンメカニズムを有効にする：信頼できるアドレスを事前に設定し、緊急時の資金流出リスクを低減します。

• 安全情報を継続的にフォローアップ：セキュリティ企業、メディア、取引プラットフォームなどのチャネルを通じて、攻撃手法の最新動向を把握し、警戒を保つ。現在、多くのセキュリティ機関が開発したWeb3フィッシング演習プラットフォームが近日中にローンチされる予定であり、このプラットフォームは社会工学的フィッシング、署名フィッシング、悪意のある契約インタラクションなど、さまざまな典型的なフィッシング手法をシミュレーションし、歴史的な議論から収集された実際のケースを組み合わせて、シナリオコンテンツを継続的に更新します。ユーザーがリスクのない環境で認識と対処能力を向上させることができる。

• オフラインリスクとプライバシー保護に注意：個人情報の漏洩は人身の安全問題を引き起こす可能性があります。

これは杞人の憂いではなく、今年に入ってから、暗号業界の従事者/ユーザーは多くの人身安全に関する脅威に直面しています。今回漏洩したデータには名前、住所、連絡先、アカウントデータ、身分証明書の写真などが含まれているため、関連するユーザーはオフラインでも警戒を高め、安全に注意する必要があります。

要するに、疑いを持ち続け、継続的に検証することです。緊急操作が関与する場合は、必ず相手に自己証明を要求し、公式なチャネルを通じて独立して確認し、圧力の下で取り返しのつかない決定を下さないようにしてください。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき

まとめ

今回の事件は、成熟しつつあるソーシャルエンジニアリング攻撃手法に対して、業界が顧客データと資産保護において依然として明らかな短所を持っていることを再び露呈させました。警戒すべきは、プラットフォームの関連部署が資金権限を持っていなくても、十分な安全意識と能力が欠けている場合、無意識の漏洩や反抗によって深刻な結果を引き起こす可能性があることです。プラットフォームの規模が拡大し続ける中で、職員の安全管理の複雑さも増しており、業界で最も難しいリスクの一つとなっています。したがって、プラットフォームは、チェーン上の安全メカニズムを強化するだけでなく、内部職員とアウトソーシングサービスを網羅する「ソーシャルエンジニアリング防御システム」を体系的に構築し、人為的リスクを全体的な安全戦略に組み込む必要があります。

さらに、攻撃が孤立した事件ではなく、組織的かつ大規模な継続的な脅威であることが判明した場合、プラットフォームは直ちに対応し、潜在的な脆弱性を積極的に調査し、ユーザーに警告を発し、損害の範囲を制御すべきです。技術的および組織的な両面での対応を行うことで、ますます複雑化するセキュリティ環境の中で、信頼と限界を本当に守ることができます。

! 暗い森のカスタマーサービス:ソーシャルワーカー詐欺がCoinbaseユーザーを標的にしたとき