フィッシング熱狂：小学生たちがRobloxスキンを購入するために数百万ドルのNFTを盗んでいる

時にはジャーナリストを疑うのも良いことだ。

Orbiter Finance の場合を考えてみましょう。先月、仮想通貨ニュースサイト出身と主張するジャーナリストと称する人物が、Discordのモデレーターの1人に連絡し、フォームに記入するよう求めた。モデレータは、この単純な行為が Discord サーバーの制御を引き継ぐことになるとは知りませんでした。

犯人は侵入すると、サーバーに対する他の管理者の制御を凍結し、コミュニティメンバーがメッセージを送信する機能を制限しました。彼らは偽のエアドロップのアナウンスを投稿し、全員をNFTを盗むように設計されたフィッシングWebサイトに送りました。出来た。チームはただ見守ることしかできなかったが、合計で100万ドル相当のNFTとトークンが一瞬で盗まれた。

「私たちはとても心配していました」とオービター・ファイナンスの事業開発マネージャー、グウェン氏はインタビューで何が起こったのかを語った。 「もし私たちが（コミュニティのメンバーに）損害を与えたら、彼らからの信頼を失うだけです。」

Orbiter 攻撃は、NFT ドレイナーと侵害された Discord サーバーまたは Twitter アカウントが関与する一連の長いエクスプロイトの最近の一例にすぎません。 OKHotshotとして知られるNFTアナリスト兼セキュリティ専門家が収集したデータによると、2021年12月以降、少なくとも900台のDiscordサーバーがフィッシング攻撃を実行するために侵害されており、過去3か月で顕著な増加傾向にあることが示されています。

PeckShield と複数のダッシュボード Scam Sniffer らによる Dune Analytics について。攻撃者は合計で 7,300 万ドル相当の NFT とトークンを盗みました。

攻撃の背後にある顔

これらの計画には、多くの場合、排出コードを目的とした新興の闇市場への誘導と取引が含まれます。

フィッシング攻撃の指揮者はまず Telegram と Discord に向かい、そこで多数の異なる種類のドレイナーの開発者が運営するチャネルを見つけます。彼らはデベロッパーに連絡して、ウェブサイトに統合できるコードセットの形式をとるドレイナーを購入しますが、通常は収益の 20～30% をデベロッパーに渡すことに同意します。次に、彼らは独自の方法（その 1 つは上記の偽ニュース サイトの例）を使用して、Discord サーバーまたは Twitter アカウントを侵害し、NFT や入手可能なあらゆるものを盗むための NFT ドレイナー コードを含む偽の Web サイトを宣伝します。

それは、宿題で忙しくないときです。

「彼らの95％は18歳未満の子供たちで、まだ高校生です」とNFT市場OpenSeaの信頼と安全チームで働くプラムとして知られる仮名のセキュリティ研究者は述べ、これが理由だと付け加えた。夏休みには攻撃件数が増加する傾向があります。

「私は個人的に彼らのかなりの数と話をしましたが、彼らがまだ学校に通っていることを知っています」とプラムさんは言いました。 「私は彼らの学校からのさまざまな写真やビデオを見てきました。彼らは先生のこと、授業でどのように失敗しているか、どのように宿題をしなければならないかなどについて話します。」

これらの子供たちは、新しく見つけた富を隠そうとほとんど努力していないようです。

「彼らはラップトップ、携帯電話、靴を購入し、Roblox に巨額のお金を費やすでしょう。彼らはほとんどの場合、Roblox をプレイしています。それで彼らは、Roblox アバター、ビデオ ゲーム、スキンなどに使用する最もクールなギアを購入するでしょう」とプラム氏は言いました。

プラム氏は、彼らはギフトカード市場の Bitrefill で暗号通貨付きのギフトカードを購入したり、Uber Eats で数千ドルを費やしたり、デザイナーの服を購入したり、宿題をしてもらうためにお金を払ったり、さらにはまだ運転できない車を購入したりすることも多いと付け加えた。そして彼らはギャンブルもします。

「彼らはオンライン ポーカー ゲームに 1 ポップあたり 40,000 ドルを賭け、それを Discord 通話で他のすべての打者にストリーミングします。この人がこのポーカー ゲームをプレイするのを誰もが見るでしょう」と彼らは言いました。

プラム氏によると、搾取者たちは低所得国の人々に個人情報を使って取引所に登録するよう金銭を支払い、現金化する際の痕跡を曖昧にすることで痕跡を隠蔽しようとしているという。しかし彼らは、彼らは彼らの行動の十分な証拠を残しているので、法執行機関が彼らを捕まえることに関心を持っていなければ、少なくともそのうちの何人かは今頃逮捕されているはずだと述べた。

プラム氏は、加害者がそのような攻撃で逃げられると考える理由について、「彼らは無敵だと感じており、神モードを持っており、誰も自分に触れることはできないと感じている」と推測した。

一方、北朝鮮のような国は、も関与しています NFTをターゲットとしたフィッシング攻撃では、NFTは通常、独自のドレイナーを使用し、販売用のドレイナーにはあまり関与しないとプラム氏は述べています。 NFTドレイナーの作成者（場合によっては独自のテクノロジーを使用して攻撃を実行する人）については、もう少しとらえどころがありませんが、それでも彼らの偽名プロフィールは明確な痕跡を残します。

NFTドレインの台頭

最も初期の NFT ドレイナーの 1 つである Monkey は、8 月に Telegram チャネルをセットアップしました。しかし、実際に活発になり始めたのは10月に入ってからでした。 PeckShieldによると、その後数か月間で、彼らのテクノロジーは930万ドル相当の2,200個のNFTと、さらに700万ドルのトークンを盗むために使用されました。

2月28日、モンキーは帽子を掛けることに決めました。開発者は別れのメッセージの中で、「すべての若いサイバー犯罪者は、安易なお金の追求に我を忘れるべきではない」と述べた。彼らは顧客に、ヴェノムとして知られるライバルの排水装置を使用するように言いました。

ヴェノムは立派な競争相手だった。これも初期の排水手段の 1 つであり、時間が経つにつれて、盗みに使っていた 15,000人以上の被害者から2,000個以上のNFT。ドレイナーの顧客は攻撃を実行するために 530 のフィッシング サイトを使用しましたターゲティング Arbitrum、Circle、Blur などの暗号プロジェクトは、NFT、イーサ、さまざまなトークンで総額 2,900 万ドルを稼ぎ出しています。

Venom はマルチチェーンに移行した最初の NFT ドレイナーの 1 つでしたが、それをうまくやっていなかったとセキュリティ専門家は指摘しています。しかし、彼らのものは、NFTマーケットプレイスBlurでNFTを盗むために使用された最初のドレイナーでした。

他の競合他社には、11,000 人の被害者から 950 万ドルを盗むために使用された Inferno や、3,000 人の被害者から 1400 万ドルを盗むために使用された Pussy が含まれます。ロシアのハッキング フォーラムに由来する Angel の顧客は、これを利用して、NFT やさまざまなトークンの形で 500 人以上の被害者から 100 万ドルを盗みました。妥協する 暗号通貨ウォレット Zerion の Twitter アカウント。

そしてピンクがやって来ました。

ピンクの奇妙な事件

10月25日、セキュリティ専門家で暗号通貨セキュリティ会社BlockMageの共同創設者であるファンタジー氏は、フィッシング攻撃から保護するように設計された暗号製品であるウォレットガードのためにDiscordサーバーを掘っていました。ここで彼らは、セキュリティ研究者を自称し、エクスプロイトに関するセキュリティ情報を投稿する Chainthreats という Twitter アカウントを運営している BlockDev という別のアカウントに遭遇しました。

Fantasy と BlockDev は、最初に会ったときは意見の相違もありましたが、時間が経つにつれて、定期的に話すようになりました。そこで BlockDev は、Venom ドレイナーの開発者が所有する仮想通貨ホット ウォレットを、独自の API を使用して悪用するというアイデアを思いつきました。 BlockDev は、どのように計画しているかを説明した後、攻撃を実行し、Venom の開発者から 14,000 ドルの暗号通貨を盗みました。ファンタジーはその一部始終を観察し、BlockDev が攻撃に使用したウォレットを書き留めました。

今年の初めに、Pinkと呼ばれる新しいNFTドレイナーがシーンに登場しました。これは以前のものよりも進化しているように見えました。これはすぐに人気を博し、一連の攻撃でNFTを盗むために使用されました。 Fantasy が調査したときのみ、ドレイナーのセットアップに使用された資金源が BlockDev のウォレットにまで遡り、両者が同一人物であることが示唆されました。

「私は元の資金源と、2 つのウォレット間の一般的な活動を振り返ってみました。これらは同様の活動を共有していました。私は彼に反論しましたが、彼はそのことにあまり満足していませんでした」とファンタジーさんは語った。 「彼は私という人間に失望していました。彼は私を信頼できると思っていました、そして私はそれがとても面白いと思いました。」

この時点で、現在はピンクとして知られる研究者とされる人物は、Discord と Twitter アカウントを削除し、Fantasy や Plum などのセキュリティ研究者との関係を断ち切りました。

ピンクのドレイナーは、5 月から 6 月にかけて、Orbiter Finance、LiFi、Flare、Evmos の Discord や Steve Abeoki の Twitter アカウントなどを含む、より大規模なエクスプロイトに使用され続けました。

攻撃者は再び、インタビューを行うために手を差し伸べるジャーナリストを装う戦術を採用し、しばしば Discord のモデレーターやターゲットが誰であろうと、特定の Web ページをブックマークするように指示しました。によると詐欺スニファー 、この重要なステップは、最終的にサーバーに侵入する方法です。

プラムとファンタジーは、ピンクの水切り機は、そのような盗難を防ぐように設計された財布の拡張機能などの保護をなんとか回避していると指摘しました。ピンクはウォレット拡張機能であるPocket UniverseとWallet Guardを回避することに成功していると彼らは述べた。彼らはまた、BlurでトークンとNFTを同時に盗む方法を実装し、これを重要な開発であると説明しました。

このような攻撃から守るために何ができるかについて、プラム氏は、セキュリティを重視したウォレット拡張機能は、一般的にウォレットを保護するのに依然として有効であると述べた。彼らは、複数のウォレットを使用し、コールドウォレットに大量の資金を保管することが良い習慣であると指摘し、ウォレットが特定のトークンと対話する許可をブロックチェーンに与えた場合、問題のトークンが不正な場合には承認を取り消すことも良いと付け加えた。積極的には使われていません。

「一度の間違いで、子供たちの叫び声に気を取られたら、自分が持っているすべてを失うことになる、と自分自身を設定しないでください」とプラム氏は言いました。