David Schwartz氏がXRP保有者に警告、12語・24語のリカバリーフレーズを求める詐欺リンク

通知履歴が暴いたSwartzへの餌付け

Rippleの元最高技術責任者であるDavid Schwartz氏が、自身のAndroid端末に届いたフィッシング攻撃を暴露した。通知はSecuXのハードウェアウォレットアプリを装ったもので、12語か24語のリカバリーフレーズの入力を求めるページへのリンクが仕込まれていた。XRP Ledgerを長年支えてきた暗号技術者であり、同業界で最も注目されるセキュリティ関係者の一人であるSchwartz氏によれば、通知はSecuXからの正当なメッセージに見えたという。本人は好奇心でタップし、アプリは通常どおり開き、違和感はなかった。ところが通知履歴を開いた時点で、メッセージの全文が判明する。内容は「資金に危険が生じている」「SecuXウォレットに重大な脆弱性が検出された」「至急確認が必要」という類のものだった。氏の説明によると、リンク先はユーザーに12語または24語の入力を求める詐欺ページだった。この語群こそがシードフレーズであり、暗号資産ウォレットの保有者が持つ最も機微な認証情報にあたる。他人の手に渡れば、別の端末でウォレットを復元され、資金を掌握される。偽の通知について氏が記した投稿には、この一件から導かれた三語の鉄則「Never do that(決してそうするな)」が添えられていた。やり取りを見たある観察者が、こうした通知自体をタップしないよう呼びかけると、Schwartz氏は自身の場合好奇心に負けたと応じ、通知ログを確認して初めて危険が分かったと述べた。プッシュ通知は見かけ上の送信元アプリの信頼をそのまま引き継ぐ。だからこ似装いは巧妙になり、業界の古参ですら届いてしまった。XRP投資家にとってこの種の端末はXRPの保管先として一般的な選択であり、警告の響きは大きい。ただし攻撃の狙いは認証情報であって、XRPの価格とは無関係だった。

SecuXの10月16日緊急メンテナンス

警告が公になったのは、通知で装いの対象となったアプリの提供元であるSecuXが緊急メンテナンスを公表した数時間後だった。同社は10月16日、ウォレットアプリがセキュリティと安定性の強化を目的とする大規模なシステム更新と緊急メンテナンス中にあると発表したが、介入を余儀なくされた問題の内容は明かしていない。続くサービス更新でアプリは通常稼働に戻ったと確認された。その確認と合わせて提供元は従来からの注意事項を繰り返した。24語のリカバリーフレーズを求めることは決してない、不審なリンクや検証されていないリンクは避けること、SecuXサポートを装うメッセージは疑うべき対象である、という三点だ。Schwartz氏の投稿にも10月16日の日付が付いていた。未解決なのは通知そのものの発信元だ。氏はメッセージがアプリから来たのか、第三者の通知サービス経由なのか、それ以外の経路なのかを特定できておらず、これまでに公開された情報のいずれも、SecuXのソフトウェアや基盤が侵害されたことを独立に示していない。企業側のメンテナンス告知も、何が起きたのかの説明には至っていない。つまり現時点の記録が確定させているのは詐欺の試みとメンテナンスの実施の二点であり、侵入の事実ではない。この空白こそが、長期ポジションをコールドウォレットで保管するXRP保有者にとって重い。ウォレットアプリの説明のないメンテナンス時間帯に、同じアプリを装った偽通知が続く。これはフィッシング集団が付け狙う条件そのものだ。モバイルのプッシュ通知は、ロック画面で正規の警告の隣に並んで表示されるため、暗号資産詐欺の常態化した配送経路になっている。詐欺ページへはタップ一回で着くことも多い。二者を分けるのは直感ではなく検証だ。送信元、リンク、要求内容を入力前に確認するしかない。

リカバリーフレーズは入れ替えられない

二つの発表を私どもが読み解いた結論は、ここで最も安上がりな防御が最強の防御でもある、というものだ。Schwartz氏が残した一件記録によれば、詐欺の全容は語群の要求だけで構成されていた。署名の要求も、トランザクションも、秘密鍵の露出もなかった。リカバリーフレーズは攻撃者に一度見られたら変更できない。入力してしまった保有者は、全資産を新規生成のウォレットへ移し替える必要があり、その手順は私どもの暗号資産ウォレット復旧ガイドに詳しい。SecuXが10月16日のメンテナンスの引き金を説明するまで、XRPの動向を追う者の実務上の前提はこう置くべきだ。リカバリー用の語群を求める通知、バナー、メールは、装いの対象がどのアプリであろうと敵性のものだと。