記事内で紹介する商品を購入することで、当サイトに売り上げの一部が還元されることがあります。
最近、MetaMask（メタマスク）公式を騙った迷惑メールが急増しています。迷惑メールのほとんどは詐欺師が送信しているもので、メール内のURLなどにウォレットを接続/承認してしまった場合、ウォレットにある資産をすべて盗まれてしまうケースも……。
本記事では、万が一メタマスクを騙った迷惑メールがきたときの対処方法と事例についてお伝えしていきます。
暗号資産の世界では、自分の資産を守れるのは自分しかいません。ぜひ、最後までご覧ください。
MetaMaskとは｜暗号資産を管理できるウォレット！
MetaMaskとは…
イーサリアムとイーサリアムをベースに発行された暗号資産の管理ができるソフトウェアウォレットのこと。
MetaMaskは、暗号資産の管理ができるソフトウェアウォレットです。暗号資産のウォレットとは、暗号資産専用のウォレットを指します。
ウォレットからは、暗号資産を管理したり、送付したりすることが可能。スマホアプリ、もしくはウェブブラウザの拡張機能で利用できます。
中でも人気の「MetaMask」は、イーサリアムとイーサリアムをベースに発行された暗号資産を管理できるウォレットです。誰でも無料で利用できるところやアカウント複数個をまとめて管理できるところが特徴となっています。
MetaMask｜迷惑メールの事例紹介
最近、人気の仮想通貨ウォレット「MetaMask」を騙った迷惑メールが増えています。
被害報告を読む限り、以下のような文面で「クイック本人確認」をうながすものが多いようです。
最近の各国の法律や政策の変化により、すべてのユーザーは（完全な）KYC認証を受けなければなりません。本システムは、少なくとも1つのウォレットが認証プロセスが正しく完了されていないことを示しております。
下に表示されているボタンを押して、弊社のウェブサイトで簡単に認証を完了することができます。接続していただくと、ウォレットとスマートコントラクトの認証が自動的に行われます。
「クイック本人確認」
もしお客様は今後、弊社のサービスを利用されなければ、この電子メールの通知を無視しても構いません。適時な行動が行われない場合、20〇〇年〇月にMetaMaskスマートコントラクトは自動的に削除されます。
そもそも、MetaMaskに特定の管理者はいないため、KYC認証（本人確認）は必要ありません。KYC認証とは、暗号資産取引所（CEX）などで使われる本人確認です。
取引所なら、口座がひとりひとつと決まっているなどの理由から本人確認が必要なのも頷けます。しかし、MetaMaskは完全に匿名で利用できることが特徴のウォレットです。ウォレットを作るのにメールアドレスさえも不要のため、MetaMaskを騙るメールが届いたら、無視することをおすすめします。
迷惑メールの手口
では、MetaMaskを騙る迷惑メールが増加している理由は一体何なのでしょうか？
実は以下のように、メールを経由してMetaMask内の資産を盗み取ることが目的と考えられています。
- フィッシング詐欺
- リンクから偽のURLにMetaMaskを接続させ、暗号資産を盗む
- メールでやり取りをし、シードフレーズを盗む
シードフレーズとは…
ウォレットが生成する文字列。
知っていると管理されている暗号資産の送付・保管・運用などのすべてができる。
シードフレーズとは、ウォレットが生成する文字列です。MetaMask公式も把握していないランダムな英単語で構成されており、ウォレットを作成した人しか知りません。
シードフレーズを知っていれば、管理されている暗号資産の送付・保管・運用などのすべてができるようになります。ATMで言う暗証番号のようなものと言えるでしょう。
そのため、ハッカーは常にMetaMaskのシードフレーズを狙っていると言っても過言ではないでしょう。しっかりと管理して、どこにも漏らすことのないように注意してください。
MetaMask｜迷惑メール対策方法
では、MetaMaskの迷惑メールが届いてしまった場合、どのような対処をすべきなのでしょうか。
ここからは、MetaMaskの迷惑メールの対策・対処方法を紹介します。
MetaMaskからは基本的にメールは来ない
通常、MetaMaskからメールが届くことはありません。そもそも、メタマスクアカウントを作るときにメールアドレスを入力しないため、MetaMask側もユーザーのメールアドレスを知らないのです。
このことから、問い合わせした場合を除き、MetaMask公式からメールが届くことはないと言えるでしょう。
なお、MetaMaskへの問い合わせは、メールではなく公式サイトのチャットからも受け付けているようです。
- MetaMask公式へのお問い合わせ
https://support.metamask.io/hc/ja
メールのURLをクリックしない
MetaMaskの迷惑メールが届いても、無視しましょう。本来なら迷惑メールに反応するセキュリティの導入が望ましいかもしれませんが、メールのURLをクリックしなければ、基本的に害はないと見ていいでしょう。
そのため、MetaMaskの迷惑メールが届いたら、以下のことを徹底してください。
- MetaMaskからのメールは開かない
- メール内にあるURLには絶対にクリックしない
- できれば迷惑メールを弾くセキュリティを導入する
- 迷惑メールBOXに入っていなくても警戒する
もしメール内のURLをクリックしてしまった場合、速やかにリボークしましょう。
MetaMaskの詐欺事例を知ろう
MetaMaskの詐欺事例を知っておくことが、詐欺被害を防ぐことにつながります。
ここからは、MetaMaskの詐欺事例について見ていきましょう。
Approve（承認）してしまう
ほとんどのDApps（分散型アプリ）は、利用する際にMetaMaskを接続します。
接続した時点では、相手はユーザーの資産の内容を見られるに留まります。しかし、その次に行う「承認（Approve）」には注意が必要です。承認すると、そのDAppsがウォレットにある資産を自由に移動させられるようになってしまうのです。
そのため、ハッカーは承認させることを目的として、あの手この手を使ってきます。偽サイトもそのひとつです。
承認する前に、本当に怪しくないサイトかどうか、アクセス権限を無制限で承認していないかなどを確認することが大切です。自分だけでは不安な場合、Pocket UniverseやKEKKAIなど、自動でチェックしてくれるプログラムを導入しましょう。
シードフレーズを共有してしまう
知らない人や、メタマスクの公式を騙った人にシードフレーズを教えてしまう詐欺も後を絶ちません。
シードフレーズは、先述したように、ウォレットの暗号資産と秘密鍵にアクセスするためのランダムな文字列のことです。
ATMで言う暗証番号のようなものと言えるでしょう。シードフレーズを知っている人は、ウォレット内の暗号資産を自由に移動できるため、誰にも教えてはならないものです。
しかし、中にはさまざまな方法でシードフレーズを聞き出そうとしてくる人がいます。もしもシードフレーズを教えてしまった場合、もうできることは資産の移動のみ。それ以外にできることはありません。シードフレーズは、いわばウォレットを守るための最後の砦なのです。
メタマスク公式も、「公式からシードフレーズを聞くことはありません」と注意喚起しています。決して誰にも教えないように徹底しましょう。
新たな詐欺「アドレスポイズニング」
2023年に新しく確認された詐欺が、「アドレスポイズニング」です。
手口は、過去に取引したことのあるアドレスと類似したアドレスを取引履歴に残し、資産を盗むというもの。ウォレットアドレスを記入する際はコピーアンドペーストをするという、暗号資産の原則を利用した詐欺です。
送金先のウォレットアドレスによく似た偽のウォレットアドレスをターゲットの取引履歴に仕込み、偽のアドレスまで暗号資産が送られてくるのを待つという手法となっています。
そのため、できればウォレットアドレスは取引履歴からコピーアンドペーストするのではなく、本人からチャットなどで聞くことをおすすめします。
MetaMask｜迷惑メールをクリックした時の対処方法
MetaMaskの迷惑メールから怪しいURLをクリックしてしまった・承認してしまった場合の対処方法を紹介します。
要するに、怪しいサイトにアクセスしてしまったら、アクセス権限を取り消せばいいのです。この作業を「Revoke（リボーク）」といいます。
Revoke（リボーク）とは
Revoke（リボーク）とは、一度許可してしまったウォレットへのアクセス権限を、取り消す行為のことです。万が一怪しいサイトに繋いでしまった場合は、リボークすることで資産を守ることができます。
ただし、偽のサイトでアクセスを承認してしまった場合、詐欺師が資産を抜く速さとの勝負になります。怪しいサイトに承認してしまった後は、なるべく早くリボークするようにしましょう。
Revoke（リボーク）のやり方
まずはリボークできるサイトにアクセスしましょう。リボークできるサイトはいくつかありますが、Revoke.cashがおすすめです。
サイト上部にウォレットアドレスを入れる欄があるので、怪しいサイトに接続してしまったウォレットのアドレスを、コピーアンドペーストで記入しましょう。
すると、現在アクセス権限を付与しているものが一覧で表示されます。
取り消したいサイトの右側の「取り消す」をクリック。
ガス代を支払って完了です。
MetaMaskの迷惑メール対策
MetaMaskの迷惑メールは、無視しましょう。
MetaMaskを作成する際にメールアドレスは記入する必要がないため、MetaMask公式からメールが来ることはありません。
そのため、多くのメールは詐欺です。迷惑メールのURLを開いてしまったり、ウォレットをつないで承認してしまった場合は、速やかにRevoke（リボーク）を行いましょう。
