2 回のクリックで空になる – 類似 CDN を利用した IPFS 搭載の暗号ドレイン詐欺

IPFS と、類似 CDN の模倣の背後に隠された悪意のあるコードを利用した暗号ドレイン詐欺により、4 万ドル以上が失われました。

ネットクラフトでは、 10年以上にわたる暗号通貨詐欺これには、2016 年以降に 15,000 件を超える IPFS フィッシング攻撃の停止が含まれます。進化する脅威と犯罪の革新を注意深く監視していますが、Web3 API などの最新テクノロジーにより、暗号詐欺はこれまで以上に容易かつアクセスしやすくなっています。

暗号通貨は、その分散型の性質上、犯罪者にとって特に標的であり続けています。取引の中央仲裁者がいないということは、被害者が間違いを元に戻す方法も、被った損失を補償する手段もないことを意味します。

このブログ記事では、Web3 API を利用して被害者を騙し、暗号通貨のコインやトークンを手放させる支払い転用詐欺の一種である、クリプト ドレインについて説明します。模倣 Web サイトで「無料トークンを請求」するために 2 回クリックするだけで、すべての暗号資産が犯罪者に不可逆的に譲渡される可能性があります。

暗号ドレインとWeb3ウォレットAPI

Web3ウォレットAPIは、ウェブサイトがユーザーの暗号通貨ウォレットとやり取りできるように設計されており、アプリケーションとブロックチェーンの橋渡しとして機能します。Web3対応ブラウザ（ 勇敢な）、またはブラウザ拡張機能で メタマスクウォレット API を使用すると、サイトはユーザーに特定のメッセージに署名するよう要求したり、特定のアドレスに暗号通貨を送信したりすることができます。

標準的な暗号通貨流出詐欺では、サイバー犯罪者は、新しいコインを発行するという形で、ユーザーに無料の暗号通貨トークンを提供すると主張します。これは、被害者を騙してウォレットを悪意のある Web サイトに接続させ、その Web サイトが被害者の暗号通貨アドレスを取得するために使用されます。

図 1 – nonextpepe の暗号通貨ドレイン[.]com.

接続すると、犯罪者はこのウォレットに署名や取引を要求することができます。ウォレットを接続するだけでは ない サイトにコンテンツを盗むことを許可します。ただし、接続すると、通常、ドレイナーはトランザクションを要求して被害者を「トークンを要求する」ように誘い込みます。承認されると、被害者の残高全体が犯罪者が管理するウォレットに転送され、事実上、被害者のウォレットが「ドレイニング」されます。

図2 ウォレット全体の残高に対するドレイン生成トランザクション

これらのドレイナー詐欺の背後にいる犯罪者は、被害者が無料の暗号通貨トークンの約束に興奮したり気を取られたりして、取引を承認することでウォレット内のすべてのものを失うことに気付かないことを期待しています。以下の例では、イーサリアムの残高がスマートコントラクトに送信されます。 0x676CA33022fB1a41c6cFE47Eac2E896F398e5783受信したものすべてをウォレットに転送します 0x9f335dfa31bfb56dfa153efd4092c96ca22fd789 (そして何も返しません)。送信先アドレスだけで 25ETH 以上が受け取られ、送金時の為替レートに基づくと合計 40,000 ドル以上になります。

図 3 nonnextpepe のドレイン スニペット[.]com

暗号通貨の模倣者

暗号通貨の流出者は、よく知られたトークン、名前、ブランドを使用して、正当な暗号通貨プロジェクトを模倣し、被害者を騙して悪意のある取引を承認させます。この例では、Listaは実際の暗号通貨プロジェクトです。 https://lista.org、分散型ステーブルコイン リスUSD 米ドルに固定されている。ネットクラフトのアナリストは、暗号通貨を流出させるサイトを特定した。 クレームリスト[.]組織 Lista サイト全体をコピーしたものです。

図4 Listaの正規サイト（上）と模倣サイト（claim-lista[.]org をご覧ください。

悪質なサイトでは、「期間限定エアドロップ」イベントが現在利用可能であると主張しています（エアドロップは通常、宣伝効果を上げるために新しいコインやトークンを無料で入手できるイベントです）。 請求の割り当て ボタンをクリックすると、被害者が確認するための取引リクエストが表示されます。被害者がこれを実行すると、残高全体がウォレットに送信され、当然ながら、コインやトークンは返されません。

悪意のあるサイトのソースコードを調べると、Web サイトのコピー ツールによって残されたマーカーが表示され、そのサイトが実際の暗号通貨プロジェクトを直接複製したものであることが明らかになります。

図5 ウェブサイトコピーツールのマーカーが付いた悪質サイトのソースコード

ウェブサイトのコピーツールを使用すると、これらの暗号通貨ドレインキャンペーンの背後にいる犯罪者は、悪意のあるドレインペイロードを挿入するためにわずかな変更（および最小限の技術的スキル）のみを必要とするだけで、大規模な正当な暗号通貨プロジェクトを迅速かつ偽装できます。

IPFSゲートウェイ

IPFSはIの略です惑星間ファイルシステム （IPFS) は、分散型のストレージおよび配信ネットワークです。ほとんどのコンテンツが集中型サーバーでホストされている従来のウェブとは異なり、IPFS は Web 3.0 の精神を体現しており、ピアツーピア (P2P) ネットワークに基づいており、第三者や中央機関を必要としません。つまり、ネットワーク上の悪質なコンテンツを削除するのが難しく、IPFS はサイバー犯罪者にとって理想的なものとなっています。 フィッシング攻撃キャンペーンの実行。

IPFS URLはほとんどの一般的なブラウザでは直接アクセスできませんが、さまざまな方法でアクセスできます。 IPFSゲートウェイ のような ipfs.ioNetcraft のアナリストは、IPFS ゲートウェイを暗号ドレインに使用している犯罪者をすでに検出しています。IPFS は現在、正当な Web3 プラットフォームで広く使用されているため、被害者は一見ランダムに見える URL をそれほど疑わないかもしれません。たとえば、私たちは IPFS でホストされている暗号ドレインを特定しました。これは、自らを「分散型コンピューター マーケットプレイス」と称する akash.network プロジェクトを模倣したものです。

図 6 akash.network の暗号通貨ドレインクローン。

この攻撃のIPFSホストコンテンツには、ドレインを実行するために使用された悪意のあるJavaScriptペイロードは含まれていません。代わりに、これは「npm-js」でホストされています。[.]これは、人気の JavaScript パッケージ マネージャー「npmjs.com」を偽装した「top」です。スクリプトは高度に難読化されており、暗号ドレイン詐欺であると識別して有用な情報 (宛先アドレスなど) を抽出することが困難になっています。

図 7 npm-js の下に隠された悪意のある難読化されたドレイン スクリプト[.]上。

Pandora Labs ERC-404トークンを装ってIPFSゲートウェイ経由で配布される以下の暗号ドレインも、cdn-bunnyの悪意のあるスクリプトを使用しています。[.]com は、コンテンツ配信ネットワーク (CDN) bunny.net のように見えるように特別に登録されたドメインです。

図 8 cdn-bunny の悪意のあるスクリプトを使用した IPFS 上の暗号ドレイン[.]com.

悪意のある暗号通貨流出ドメイン

ListaDAOを模倣した別の暗号ドレインは、ハッシュ「バフィベイア2pskjjyxn2nyv5djpdqusz4myivoyd42mwji2e6oj7qfybcyz7a」。悪意のあるJavaScriptスニペットは「cdn-npm[.]「xyz」は、npmjs.com を偽装した別のドメインです。以下のドメインはすべて連続して登録されており、最近のドレイン キャンペーンの一環として意図的に登録されたことが示唆されています。

• npm-js[.]トップ（2024年5月12日に登録）
• cdnバニー[.]com（2024年5月26日登録）
• cdn-npm[.]xyz（2024年6月2日に登録）

これらのドメインは、暗号ドレインの設定を一元管理しながら、セキュリティ専門家から悪意のあるペイロードを隠すために使用されている可能性があります。これにより、犯罪者は後で宛先ウォレット アドレスを変更できます (この設定が IPFS のみに保存されていた場合は不可能です)。

CDN に類似したサイトは、ソフトウェア サプライ チェーン全体にわたる攻撃を一般的に示唆している可能性があり、犯罪者が検出を回避しながら正当なサイトに悪意のあるコードを隠すことを可能にする可能性があります。

大規模な新たな攻撃を阻止

Netcraft は、世界トップ 50 銀行のうち 17 行や世界最大規模の暗号通貨取引所の多くを含む世界中の組織に、サイバー犯罪の検出、阻止、および削除サービスを提供しています。Netcraft のチームとシステムは、現在 100 種類を超える独自の攻撃タイプを阻止する一方で、暗号通貨ドレイナー詐欺などの独特で革新的な攻撃を常に監視し、世界をサイバー犯罪から守っています。

NetcraftのWebベースの金融詐欺に対する独自の可視性により、世界中のさまざまな暗号通貨や銀行口座での犯罪行為から得た支払いの詳細を含む包括的な情報フィードを提供できます。これには、新しい 会話型詐欺情報サービス 暗号通貨ウォレット、ミュールアカウント、その他の実用的な情報を積極的に抽出します。 ピアツーピアメッセージ詐欺。

Netcraft は 2016 年に初めて悪意のある IPFS ハッシュを検出し、対処しました。現在も IPFS ネットワーク上の悪意のあるコンテンツ ハッシュを毎日検出、ブロック、軽減し続けています。この記事の執筆時点で、15,000 件を超える IPFS ゲートウェイ フィッシングの削除を完了しています。

Netcraftがどのように役立つかについて詳しく知るには、 弊社の専門チームによるデモ。