暗号資産プラットフォームHyperliquidのユーザーが、Googleに表示された悪意のある広告をクリックした後、約55万ドル相当のUSDCを失ったと報じられています。広告のリンクは、Hyperliquidの公式インターフェースを模倣した偽サイトへユーザーを誘導するもので、訪問者をだます目的で作られていました。
初期情報によると、被害者はまずGoogleの検索結果からHyperliquidを探し、スポンサー付きの検索結果をクリックしました。しかし公式プラットフォームではなく、本物のサイトによく似たフィッシングページへと誘導されたとされています。
主なポイント
- Hyperliquidのユーザーがフィッシング攻撃により、約55万ドル相当のUSDCを失ったとされています。
- 入手可能な情報によると、被害者はHyperliquidを装ったGoogleの有料広告をクリックした後、詐欺サイトへ誘導されました。
- ブロックチェーン分析では、被害者のウォレットから攻撃者とみられる人物に関連するアドレスへ、3件のUSDC送金が確認されました。
- 攻撃者がどのような方法で資金へのアクセス権を取得し、送金できる状態にしたのかは、現時点では明らかになっていません。
- 今回の事件は、検索エンジンの広告経由で暗号資産プラットフォームへアクセスすることの危険性を改めて浮き彫りにしました。
このユーザーは、Google上でスポンサー付き検索結果として表示されたフィッシングサイトとやり取りした後、多額のUSDCを失ったとされています。
盗難されたデジタル資産の追跡や回収を専門とするFlashRescueの共同創業者Darcy氏は、被害者のウォレットから複数の送金が行われていたことを確認しました。同氏によると、資金は攻撃者とみられる人物が管理している可能性のある3つのアドレスへ送られていました。
Darcy氏によれば、ユーザーはHyperliquidを検索した際、Googleのスポンサー付き検索結果をクリックして詐欺サイトへアクセスしたとされています。
フィッシングサイトは、正規のプラットフォームと可能な限り似た外観になるよう設計されていたとみられます。このような手法は、ユーザーがウォレットを接続したり、トランザクションを承認したりするまで詐欺に気付かないようにする目的で、攻撃者によって頻繁に利用されています。
ブロックチェーンデータが3件の不審な送金を示す
Darcy氏が公開したブロックチェーンデータによると、被害者の資金は3回の別々のトランザクションによって送金されました。USDCは、調査担当者が攻撃者とみられる人物に関連付けているアドレスへ送られています。
ただし、攻撃者が資金へのアクセスを可能にした具体的なユーザー操作については、依然として明らかになっていません。暗号資産を狙ったフィッシングサイトでは、さまざまな手法が使用される可能性があります。
例えば、ユーザーに偽の分散型アプリケーションへウォレットを接続させるケースがあります。また、トランザクションへの署名を要求したり、特定のトークンを使用する権限をスマートコントラクトに付与させたりする場合もあります。さらに、攻撃者は悪意のある操作を、見慣れたインターフェース上の通常の操作に見せかけることもあります。
最大の問題は、フィッシングサイトが正規の暗号資産プラットフォームをほぼ完全にコピーすることが多い点です。ロゴや色、インターフェース、ウォレット接続ページだけでなく、通常のトランザクションフローまで模倣することがあります。
そのため、ユーザーは偽サイトであることに気付かないまま、公式プラットフォームを利用しているつもりで操作を続けてしまう可能性があります。
資金が攻撃者の管理するウォレットへ送られてしまうと、取り戻すことは非常に困難になります。公開ブロックチェーン上で実行されるトランザクションの多くは不可逆的であるため、すでに承認された送金をブロックチェーン上から直接取り消すことは通常できません。
詐欺サイトがGoogleのスポンサー付き検索結果に表示される
入手可能な情報によると、ユーザーがHyperliquidを検索した際、フィッシングサイトがスポンサー付き検索結果としてGoogleに表示されていました。
有料広告は検索結果の中に直接表示され、一部の場合にはオーガニック検索結果より上位に表示されることがあります。そのため、ユーザーはプラットフォーム名が含まれている最初のリンクを公式サイトだと思い込む可能性があります。
攻撃者はこの仕組みを悪用し、有名な暗号資産ブランドに関連するキーワードを対象に検索広告を購入します。広告をクリックすると、ユーザーは正規プラットフォームと見た目がほとんど変わらない、似た名前やドメインを使用したサイトへ誘導されます。
このタイプの攻撃は、暗号資産ユーザーに対して何年も前から行われています。
2020年にはすでに、攻撃者がGoogleの広告キャンペーンを利用して、BalancerやUniswapなどの人気DeFiプラットフォームを装うケースが確認されていました。偽サイトは、ユーザーから秘密鍵を盗み出したり、悪意のあるスマートコントラクトに資産を操作する権限を与えさせたりする目的で作られていました。
その後、この手法はますます多くの人気暗号資産プロジェクトを標的にするようになりました。その理由は明確です。DeFiユーザーは日常的にウォレットをさまざまなアプリケーションへ接続し、トランザクションに署名するため、悪意のあるリクエストであっても一見すると通常の操作に見えてしまう可能性があります。
Google、攻撃の報告を受けて広告アカウントを停止
不正なキャンペーンに関する情報がGoogleへ報告された後、同社はフィッシング広告に関連する広告アカウントを停止したことを確認しました。
Googleは、不正広告に対してゼロトレランスの方針を採用していると説明しています。また、同社のシステムはポリシーに違反する広告の大部分を自動的に検出し、ユーザーに表示される前にブロックしているとしています。
Googleによると、同社は前年に6億200万件を超える不正広告を削除しました。
しかし、自動化されたセキュリティシステムが大規模に導入されているにもかかわらず、攻撃者は検知メカニズムを回避する方法を探し続けています。不正な広告キャンペーンは短時間しか稼働しない場合がありますが、わずか数分でも、大きな残高を保有するユーザーに到達するには十分な場合があります。
これが、こうした攻撃を暗号資産業界にとって特に危険なものにしています。従来の金融取引の多くとは異なり、ブロックチェーン上の送金は、一度承認されると取り消せない場合が多いためです。
Security Allianceが数百件の悪意ある広告URLを特定
フィッシング広告の問題は、個別の事件だけにとどまりません。
Security Alliance（SEAL）としても知られる非営利団体は4月、数週間にわたってGoogleの広告キャンペーンに関連する356件の悪意あるURLをブロックしたと発表しました。
これらの広告の一部はHyperliquidを装ったものでした。SEALによると、Googleは報告を受けた後、調査で研究者が特定したすべての広告アカウントを停止しました。
しかし、個々のアカウントを停止するだけでは問題を完全に解決することはできません。
Hyperliquidは、このようなキャンペーンの標的となっている数多くの暗号資産プラットフォームの一つにすぎません。攻撃者は、高いTotal Value Locked（TVL）を持つ人気のEthereumプロトコルや、Solanaエコシステムのアプリケーションのコピーも作成しています。
同様の攻撃の標的となったプロジェクトには、Jupiter、Raydium、Pump.funなどがあります。
人気のDeFiアプリケーションは特に魅力的な標的です。ユーザーが暗号資産ウォレットを頻繁に接続し、資産を交換し、スマートコントラクトのインターフェースを通じてトランザクションを承認しているためです。
そのため、ウォレットの接続やトランザクションへの署名を求められても、ユーザーがすぐに不審に感じるとは限りません。
攻撃者は盗まれた広告アカウントを利用
SEALは別の問題についても指摘しています。それは、攻撃者がすでに検証・承認されている既存の広告アカウントへアクセスする可能性があることです。
こうしたアカウントは盗まれたり、不正な手段で取得されたりする可能性があります。既存アカウントを利用することで、詐欺師はGoogleの自動検証手続きの一部を回避し、新しい広告キャンペーンをより迅速に開始できる可能性があります。
古く、すでに検証済みの広告アカウントを使用すると、完全に新しいアカウントから開始されたキャンペーンと比べて、悪意のある活動の検出が難しくなる可能性があります。
広告アカウントが停止されると、攻撃者は別の侵害されたプロフィールへ移行できます。同時に、ドメインを変更し、新しい広告を作成し、追加のキャンペーンを開始することも可能です。
その結果、この種の詐欺への対策は継続的な取り組みになります。ある広告群が削除された後も、別のアカウントやドメインを利用した新たなキャンペーンが登場する可能性があります。
SEALによると、一部の不正広告はわずか数分しか稼働しない場合があります。しかし、そのような短い時間でも、攻撃者が少なくとも1人のユーザーをだますには十分な可能性があります。
犯罪者にとって、この手法は高い収益性が期待できるため、依然として魅力的です。1つのフィッシングキャンペーンによって1人の被害者から多額の資金を盗むことができれば、新しいウェブサイトや広告キャンペーンの作成費用をすぐに回収できる可能性があります。
そのため、検索プラットフォームやセキュリティ研究者が対策を進めているにもかかわらず、同様の攻撃を繰り返す動機が犯罪者側に残っています。
暗号資産ユーザーはウェブサイトのアドレスを慎重に確認する必要がある
Hyperliquidユーザーの今回の事件は、スポンサー付き検索結果を通じて暗号資産サービスへアクセスすることがいかに危険であるかを改めて示しています。
Googleにサイトが表示され、広告枠に掲載されているからといって、そのサイトが表示している企業やプラットフォームに実際に属しているとは限りません。
リスクを減らす最も確実な方法の一つは、利用する暗号資産プラットフォームの公式サイトをあらかじめブラウザのブックマークに保存し、検索結果を利用せず直接アクセスすることです。
ウォレットを接続する前に、ユーザーはドメイン名を慎重に確認する必要があります。ウェブアドレスのわずかな違い、余分な文字、見慣れないドメイン拡張子などは、偽サイトである可能性を示すサインです。
また、トランザクションに署名する前には、その内容を必ず確認する必要があります。特に、スマートコントラクトが要求している権限や、トランザクションに記載された金額には注意が必要です。
サイト上の操作が通常と異なる場合や、予定していた操作とは関係のない権限を要求された場合は、手続きを中断し、情報を確認してから先に進むことが推奨されます。
ハードウェアウォレットやトランザクションシミュレーションツールは、追加のセキュリティレイヤーとして役立つ可能性があります。これらのツールは、特定の不審な操作や通常とは異なるリクエストについてユーザーに警告できます。
ただし、これらのツールでも完全な保護を保証することはできません。ユーザー自身が悪意のあるトランザクションを承認したり、スマートコントラクトに危険な権限を与えたりした場合、セキュリティ機能によって資金の損失を必ず防げるとは限りません。
大量の暗号資産を保有しているユーザーにとって、資産を複数のウォレットに分散させることも有効なセキュリティ対策の一つです。
長期保有を目的とした資産は、DeFiアプリケーションや暗号資産取引所、その他の分散型サービスとのやり取りに日常的に使用するウォレットとは分けて保管することが望ましいでしょう。
この方法により、潜在的な損失を限定できます。ユーザーが誤ってフィッシングサイトに接続し、悪意のあるトランザクションに署名した場合でも、攻撃者がユーザーのすべての資産に自動的にアクセスできるとは限りません。
55万ドル相当のUSDCが失われた今回の事件は、暗号資産に詳しいユーザーであっても、検索広告を利用する際には十分な注意が必要であることを示しています。公式ドメインを確認し、リンクの出所をチェックし、署名前にすべてのトランザクションを慎重に確認することは、デジタル資産を守るための重要な対策です。