【NFT】MetaMask（メタマスク）のハッキング事例と対策【防御力を上げる】

仮想通貨、NFTをはじめてみて、
「NFTが盗まれた！」
「ウォレットの中身を全部抜かれました…」
という書き込みを目にしたことがあると思います。

残念ながら騙して儲けようとする悪い人はいます。
では被害にあわないようにするにはどうしたらよいか？

オレオレ詐欺の手口を知ることで騙される人が減ったように、「知識で武装する」しかありません。

この記事を読んで、防御力を高めましょう。

この記事を読むことで、詐欺・ハッキングの被害にあう確率を減らすことができます。
他人ごとではなく自分ごとにしておかないと、後悔しても遅いので防御力を上げていきましょう！

2021年7月からの1年間で盗まれたNFTは140億円以上

1年間で140億円以上の価値のあるNFTが盗難被害にあいました。
この驚異的な数字は、ブロックチェーン調査会社Ellipticが発表しています。

🚨Over $100 million worth of NFTs were publicly reported as stolen through scams between July 2021 and July 2022, netting perpetrators $300,000 per scam on average.
Head to https://t.co/u6iPLjXgpR to read our NFTs and Financial Crime Report.#nft #crypto #aml

— elliptic (@elliptic) August 24, 2022

少なくない被害額。他人ごとではありません。

なぜ詐欺が多いのか

騙される人が多いからです。
歴史の浅いweb3では利用者も初心者が多く、まだ知識がないことを逆手にとって詐欺師がだましてきます。

匿名性が高いのも要因のひとつ。
メタマスクを作ったことがあればわかりますが、個人情報ナシで何個でもつくれます。
メールアドレスもいりません。

「自分は気をつけているから大丈夫」は過信かもしれません。
騙されないためには知識で防御力を上げましょう。

ハッキング事例を見て学ぶ

DMは詐欺

標語のように使われている「DMは詐欺」という言葉。
大袈裟ではなく、DMによる詐欺が多発しています。

など、DMで公式サイトや親切な人を装って近づいてきますが、
何度も言います「DMは詐欺」なので、すべて無視しましょう。

Discord（ディスコード）のDMを受け取らない設定

「DMは詐欺」なので、そもそもDMを受け取らない設定にしましょう

スマホの場合

下のメニューから自分の画像をタップして「プライバシー・安全」を選択

「安全第一」を選択し、
「サーバーにいるメンバーからのダイレクトメッセージを許可する」をOFFにしてください

PCの場合

左下の設定マークをクリック

プライバシー・安全で「安全第一」を選び
「サーバーにいるメンバーからのダイレクトメッセージを許可する」をOFFにしてください

＞＞＞【NFTコミュニティ】Discordの使い方

X（Twitter）のDMも詐欺

知り合いとX（Twitter）のDMでやり取りすることはあると思いますが、知らない人からのDMは詐欺を疑いましょう。
特に、「今だけ安くNFTが手に入りますよ」というメッセージには注意！
DMのURLからウォレットを接続して盗まれるケースが多発しています。

X（Twitter）で怪しい誘いをブロックする設定を紹介します。

X（Twitter）の「設定とプライバシー」をタップ

「プライバシーと安全」をタップ

「ミュートとブロック」をタップ

「ミュートしている通知」をタップ

「メールアドレスが未認証のアカウント」をONにする

詐欺アカウントは大量に作って実行してくるので、メールアドレス認証をしてない場合が多いです。
この設定をしておくことで、怪しい通知が減ります。

NFT画像をアイコンにしてフォローしてくる詐欺アカウントも増えています。
リプライ（返信）をする中で、偽URLを教えてくる手口にも注意！

X（Twitter）ブルー（認証マーク）に騙されない

2023年以降、増えている手口「X（Twitter）ブルーから、詐欺サイトへの誘導」
課金すれば「X（Twitter）ブルー」をつけられるようになったため、

本物のアカウントのリプ（返信）で、

ニセモノが、詐欺リンクを貼るという手口。

長文ツイートは連投で投稿されることも多く、油断していると騙されます。
こういう手口があることを知っているだけで、被害にあうかどうか違ってきますね。

X（Twitter）のメンションで誘導

X（Twitter）でメンションをつけて、詐欺サイトにウォレット接続をさせる手口があります。
うまい話はないので注意！

OpenSeaで自分のウォレットに入っている知らないNFTは触らない

NFTを買うと、嬉しくて自分の買った画像を眺めてしまいますよね

そこで、買った覚えのない見知らぬNFTを見たら注意
「Hidden」の中にあることが多いです

ウォレットアドレスはだれでも見れるため、送られてくるのを防ぐことはできません。
自宅の郵便ポストにいらないチラシを入れられるのと一緒です。

勝手に送ってくるだけでなく、「そのNFTを買います」とオファーをされることも。
「2万円くらいで売れるなら」なんて考えたらアウトです。
オファーを受けてしまうと、ウォレットの中身は全部ぬすまれますよ。

「さわらず放置」することが防御になります。

Discord（チャットアプリ）のリンクも疑ったほうがよい

コミュニティでつかうDiscord。
オフィシャルサイト的な役割を持つ反面、管理者のアカウントが乗っ取られて「詐欺サイトへ誘導」の手口があります。

管理者のアカウントからアナウンスされるので、信じてしまうのもしょうがないですが

・NFTをプレゼント（エアドロ）しますは疑う
・知らないサイトへのURLは確認する
・ウォレット（メタマスク）を簡単に接続しない
・怪しいと思ったら、複数人に確認する

以上のことは注意します。
うまい話はすべて詐欺と思ってください。

Discordのテキストリンク機能に注意

2023年9月のアップデートで、テキストにリンクが貼れるようになりました。
しかし、リンク先を偽装できるので注意が必要です。

表示させるテキストとリンク先のURLを、画像のように入力すると

OpenSeaのURLに見せかけて、違うサイトを表示するリンクがつくれます。

リンクをタップしないように注意し、タップした場合は「移動先のURL」をしっかり確認しましょう。

サーバー管理者の対策

サーバー管理者は、詐欺リンクを作られないように対策をしましょう。
サーバー設定から

AutoMod→カスタムワードをブロックを追加します。

「高度なマッチングのための正規表現を使用（任意）」に以下の文字列を入力します。
コピペでOK。

管理者はルールが適用できないので、動作確認は一般ユーザーでしてください。

キンコン西野さんのNFT詐欺事件

キンコン西野さんが監修しているチムニータウンDAOで、乗っ取り詐欺が発生しました。
ハロウィンプペルNFTが完売して、お祭り状態になっているところを狙われています。

• X（Twitter）からのリンクはふまないこと
• 購入するときはDiscordの公式アナウンスのURLから

と注意喚起はされていたところ、公式アカウントが乗っ取られるという事件。
常に警戒しておかないと防ぐのが難しいケースでした。

＞＞＞ハロウィンNFTプペルとは？特徴・買い方を解説

被害にあった方への対応は、さすがキンコン西野さん

DAOは「自己責任」の世界です。
本来、被害にあっても補償をされません。
被害者に補償をすることはリーダーがいることになってしまい、リーダーがいらないDAOという考えとは逆になります。

今回の被害者は、あまりにもかわいそうなのでNFTがプレゼントされました。
あくまで今回限り。キンコン西野さんの計らいです。

アニメ「ルパン3世」がお宝を盗んだとき、「ルパン参上！」のカードが現場に置いてあることに着眼。
お宝はいくらでもあるけど、ルパン参上のカードはほぼ手に入らない。
「お宝よりも、ルパンのカードの方が貴重でしょう」と、「22人のNFT盗まれた人にだけ、詐欺にあったとわかるNFT」がプレゼントされました。
被害にあったことはショックと思いますが、キンコン西野さんの対応はさすがです。

とはいえ、「公式リンクも疑うぐらい慎重にしないといけない」という貴重なハッキングケースでした。

＞＞＞【キンコン西野】CHIMNEY TOWN DAO（チムニータウン ダオ）へ参加する手順

Google検索のリンク先が偽サイト

Googleなど、ブラウザは偽サイトでも広告を出すと検索上位に表示されます。
知らずに見た目はほんものと区別がつかない偽サイトでウォレットをつなぐと…

はい、おしまいです。中身を全て抜かれます。

検索表示は偽サイトの可能性があるので、
公式サイトからのリンクか、ブックマークからサイトを訪問しましょう。

＞＞＞NFTの盗難詐欺にあってみた【ハッキング体験】

広告がブロックできるBraveブラウザの利用で防御力UP

詐欺リンクを踏まないためには、セキュリティレベルが高い「Braveブラウザ」を使いましょう。

Braveブラウザは、第三者機関である「ダブリン大学トリニティ・カレッジ（アイルランド最古の国立大学）」の調査で、ChromeやFirefox、Safariなどと比べ「最もプライバシーが確保されたブラウザ」に選ばれています。

Brave Browserは初期設定ではIPアドレスの追跡をさせるような識別子は確認できず、バックエンドサーバと訪れたWebページの詳細を共有することもなかった。Chrome,Firefox,Safariではバックエンドサーバとページの詳細を共有していた。

引用元：Web Browser Privacy

広告ブロック機能とともに、マルウェアなどの有害プログラムをブロックする機能も搭載されています。

デフォルトで広告がブロックされる、セキュリティレベルの高い次世代高速ブラウザです。

例えばGoogle Chromeで「ビットコイン」と検索すると「広告」が多数表示されるところ、

Braveの場合、「広告」なし。

Braveは、広告が表示されない以外にもメリットだらけのブラウザなので、正直つかわないと損します。

「無料でYouTube広告もブロックされる」というだけで使う理由になるのに、つかうだけで稼げちゃうブラウザなので、この機会に導入しましょう。

＞＞＞Braveブラウザとは？

送金履歴をつくってお金を送金させる（アドレスポイズニング詐欺）

ウォレットアドレスは長いので、前後の数桁だけ表示されることが多いです。

詐欺師は省略されることを利用して、前後が同じウォレットアドレスを作成した上で、送金履歴を作ります。

知っておくべきポイントは

アドレスポイズニング詐欺に引っかからないようにするには

手口を知っておくだけで、引っかかる確率は下がります。

リボークをさせてガス代に見せかけたお金を送金させる

webウォレット「Rabby」で使われた手口。

ウォレットに「ハッキングされてるから、リボーク（承認取り消し）をすぐにして！」とメッセージを出し、リボークするとガス代に見せかけてお金が送金されてしまいます。

メタマスクではないですが、ウォレットに警告を出す詐欺があることを知っておきましょう。

＞＞＞Rabby（ラビー）のインストール方法と使い方

運営がお金を持って逃げる｜ラグプル

⚠️注意⚠️

私がMODをしていた@GearverseNft #Gearverse

のDiscordが突如消えました…

恐らくRugだと思われます…

ホルダーの方は申し訳ありません…

購入を検討されてる方は購入しないでください‼️

拡散お願いします🙇‍♂️

— 空水(Kuusui).shm | 🐐 | ⚙️ | (🎮, 🚢) | 🛸 (@invest_kuusui) August 31, 2022

運営が売上を持ち逃げする詐欺「ラグプル」があります。

・初めから詐欺のために仕込んだ
・運営が難しくなったので持ち逃げした

上記2パターンがありますが、特に後者の場合は見破るのが難しいです。

運営が実名を出して、しっかりしたプロジェクトなのかはチェックした上で購入しましょう。

オークションの入札詐欺

オークション販売は、最高額の入札者がNFTを購入できます。

・まだ入札額が少額の時に、最高額で入札（例：0.1ETH）
・すぐに、かなり高値で入札（例：5ETH）
・価格が高いので、他の入札者は諦める
・オークション終了間際でキャンセルし（5ETHの入札）、次の最高額（0.1ETH）で落札

騙されてお金が盗まれる詐欺ではありませんが、そういう例もあることは知っておきましょう。

Ninja DAOで被害の実例をみて学ぶ

Ninja DAOには被害事例を報告するチャンネルがあります。

コチラから だれでも無料でDiscordに入ることができます。

Ninja DAOは10万人以上の人が参加している国内最大級のDAO組織。

多くのチャンネルがありますが

#ハッキング駆け込み寺-被害の手口共有 に被害者にあわれた方が手口を書き込み、対策方法を教えてもらっています。
チャンネルのやり取りを読むだけでも、防御力が上がるのでオススメです。

＞＞＞【NFTコミュニティ】Discordの使い方

【防御】ハッキング対策は、メタマスクのアカウントを複数作る

ハッキングは、次々と新しい手口でおこなわれています。
自分は大丈夫と過信することが危険。
ハッキングにあうことを前提の心構えで、
「ハッキングされた時に被害を最小限にする」行動をしていきましょう。

Braveで3つのアカウントをつくる

メタマスクが使えるBraveブラウザはプロフィールをわけることができます。

プロフィールの追加方法は

上メニューのプロフィールから「プロフィールを追加」をクリック

名前をつけて「完了」します。

プロフィールの切り替えは、右上からできます。

＞＞＞メタマスクで複数アカウントをつくる方法

3つのアカウントの使い分け

• 購入用→小銭入れ
• メイン→財布
• 保管用→金庫

とイメージしてもらえれば、わかりやすいかと。

金庫を持ち歩いて、買い物をしないですよね？
札束の入った財布を持ち歩くのも、ちょっと怖いですね。
必要最低限のお金だけ持って、買い物しましょう！

＞＞＞メタマスク運用方法

メタマスク内のアカウント追加はNG

メタマスク内でアカウントを作成できますが、オススメしません。
ハッキングされた場合、同じメタマスク内ウォレットの中身も盗まれる可能性が高いです。

メタマスクを3つ作って運用しましょう。

＞＞＞メタマスクで複数アカウントをつくる方法

フリーWi-FiをつなぐときはVPN接続をする

フリーWi-FIは、悪い人からすると情報まる見えなので危険です。 NordVPNやMillenVPN、SurfsharkVPNのようなVPNを利用すれば通信が暗号化されるので、フリーWi-Fiでもセキュリティが向上します。

＞＞＞【NordVPN】フリーWi-Fi使うならVPNでセキュリティ対策しよう

定期的なRevoke（リボーク）で安全性を上げる

「あやしいサイトにウォレットをつなげてしまった！」
そんな時は、リボーク（承認取り消し）をしましょう。

Revoke（リボーク）とは、NFTや暗号資産の送付許可（Approve）を取り消すこと。

詳しい手順はコチラの記事 で解説しています。

むずかしくないので、過去に接続したサイトとのつながりは解除しておきましょう。
ウォレットが外部サイトとつながっている状態は、危険でもあるのです。

ウォレットを接続する時は慎重に

ハッキング事例を紹介してきましたが、
実際に被害にあうタイミングは次の２パターンがほとんど。

1. シードフレーズを教えてしまった
2. 偽サイトに接続してしまった

シードフレーズは誰にも教えない

あの手この手でシードフレーズを聞き出そうとしてきますが、絶対ダメ。
財布を渡すのと同じ行為です。

偽サイトに接続してしまった

どんなに気をつけていても、偽サイトのリンクをふんでしまうことはあります。
でも、ウォレット接続をする前なら、まだ大丈夫。

メタマスク接続するときは、内容を必ず確認すること！

確認画面で繋げてはダメな内容

• 転送
• Transfer
• ETHを送信中

NFTの詐欺被害にあった時の対応マニュアル

被害に気づいたら、なるべく早く行動することで被害を抑えることができます。

まだ救出できるかもしれないので、落ち着いて順に対処しましょう。

＞＞＞NFT詐欺被害の対応マニュアル

まとめ

だいぶビビりましたか？
100％ハッキング被害を防ぐことはできません。
ビクビクしているぐらいで、ちょうどよいと思います。

そんなに用心しなくてはいけないの？
というぐらい防御してください。

せっかく買ったNFTが盗まれたら悲しいし、被害にあってNFTをやめてしまうのももったいない。

NFTは楽しいものなので、防御力を高めてエンジョイしましょう！

＞＞＞Braveブラウザを使うだけで仮想通貨（暗号資産）BATを稼ぐ方法