マルチシグウォレットは、暗号資産技術において現在得られる最高水準のセキュリティを備えている。
すべての取引に複数の秘密鍵による承認を必要とするため、管理を複数の鍵に分散させ、単一障害点をなくす仕組みになっている。
この仕組みにより、ハッカーが秘密鍵を1つ入手しても不正送金はできない。複数の鍵を組み合わせて使う必要があるためだ。
TRONネットワークの利用者は、この保護機能がかえって弊害を生むケースにも直面している。この仕組みが諸刃の剣になりうるからだ。
詐欺師はTRONの権限設定システムを悪用する。このシステムは、アカウントごとに細かいアクセス制御を設定できる仕組みだ。
本記事では、マルチシグが本来の保護技術から詐欺師の悪用ツールへと変質していく過程と、TRONユーザーが身を守るために知っておくべき知識を解説する。
TRONの権限構造を理解する
この詐欺の手口を理解するには、まずTRONのアカウント権限システムを把握しておく必要がある。
このシステムでは、各鍵が実行できる機能を細かく設定できる。特に重要な権限は次の2種類だ。
- Owner Permission(オーナー権限): アカウントの権限変更や所有権の移転といった高度な操作を可能にする。
- Active Permission(アクティブ権限): 資金の送金やスマートコントラクトとのやり取りなど、日常的な操作を管理する。
TRON上のすべての取引には、1つ以上の秘密鍵による署名承認が必要だ。署名は適切な権限を持ち、実行に必要な閾値を満たしていなければならない。
マルチシグはどう悪用されるのか
マルチシグ詐欺の多くは、攻撃者が必須署名者としての地位を獲得することから始まる。
アクセス権を得るため、詐欺師は被害者をだまして権限を付与させたり、スマートコントラクトの脆弱性とプラットフォーム固有の権限機能を組み合わせて悪用したりする。
TRONネットワークでは、これが2つの危険な手口として現れる。
1. シードフレーズと秘密鍵の罠
技術的には単純な「ローテク」詐欺だが、YouTubeやXといった公開プラットフォームで広く拡散している。
- 手口: 詐欺師はシードフレーズを公開し、ウォレットから資金を引き出す方法が分からないと訴える。読者に助けを求め、時には謝礼をちらつかせる。
- 餌: ウォレットには大量のトークンやUSDTが入っており、急いで資金を移そうとする人を引き寄せる。
- 罠: ウォレットにトークンは入っているが、手数料分のTRXが足りない。被害者は送金を成立させようと自分のTRXを送ってしまう。
- 発覚: ウォレットは詐欺師が管理している。被害者は必要な署名を持たないため取引を完了できない。詐欺師は送られたTRXを奪い取り、被害者はその場で資金を失う。
詐欺師はこうした「罠」ウォレットをSNSに投稿し、ユーザーをだましてTRXを送らせることで、労せず資金を積み上げていく。
2. アカウント権限の乗っ取り
この手口は単純な釣り餌にとどまらない。
- 手口: 詐欺師は取引所のサポートを装ったり、偽のエアドロップを宣伝したりして被害者を悪意あるサイトに誘導する。
- 餌: イベントに参加するには、ウォレットを接続するか取引を承認する必要があるとされる。
- 罠: 一見無害に見える取引が、実はアカウントの権限を変更するものになっている。重要な詳細は「Approve」といった汎用ボタンの裏に隠されていることが多い。
- 発覚: 署名した時点で、ウォレットの権限変更を承認してしまう。詐欺師は完全なアクセス権を得たり、共同署名者として自分を追加したりできるため、以後のすべての取引が彼らの承認に左右されるようになる。
この時点でウォレットは資金移動に複数の署名を要求するようになるが，その署名をあなたは持っていない。結果として、アクセス権を完全に失うことになる。
注記: Solanaブロックチェーンでも同様の詐欺が確認されている。ユーザーが意図せず、詐欺師に管理権限を与える取引を承認してしまうケースだ。
マルチシグ詐欺から身を守る方法
暗号資産の世界で安全を保つには、常に警戒を怠らないことが欠かせない。
以下に実践すべきポイントを挙げる。
- シードフレーズを守る:
これはウォレットの最重要の鍵だ。他人と共有せず、他人のシードや秘密鍵も絶対に使わないこと。 - 署名する前に考える:
何を承認しようとしているのか常に確認する。取引に署名する前に、一度立ち止まって考えること。 - URLを必ず確認する:
サイトのアドレスを注意深く確認する。スペルミスや見慣れないフォントは、フィッシングサイトの兆候となりうる。 - ウォレットの権限を確認する:
tronscan.orgのような信頼できるサイトで、アカウントに紐づく権限を定期的に確認する。
ウォレットアドレスを入力し、[Account Permission]セクションでアクセスレベルを確認する。 - 常に情報を更新する:
最良の防御手段は知識だ。詐欺師は手口を頻繁に変えるため、常に最新情報を把握しておくこと。
まとめ
マルチシグウォレットはセキュリティのために設計された仕組みだが、悪意ある者の手に渡れば危険なツールになりうる。
幸い、身を守るために技術の専門家である必要はない。
- シードフレーズを絶対に共有しない
- 身元不明の鍵をインポートしない
- 署名する前にすべての取引を確認する
- ウォレットの権限を定期的に確認する
- 常に情報を収集し続けよう。なぜなら知識こそがWeb3における最良の防御だからだ。
本コンテンツは情報提供のみを目的としており、金融、投資、またはセキュリティに関する助言を構成するものではない。掲載内容は執筆時点で得られた知識と調査に基づいている。読者各自での確認と、ブロックチェーン技術を扱う際の高い注意力の維持を推奨する。使用されている画像は概念的なイメージであり、実在するアカウント、ユーザー、ウォレットを描写したものではない。
