偽のGTA 6流出コピーがあなたの暗号通貨ウォレットの資金を吸い上げます

Grand を中心に構築された詐欺サイトを目にしてきましたTheft オートVI（GTA 6）は今年、3つの異なる方法で来場者をターゲットにしている。

6月には、数百ドル相当の仮想通貨でGTA 6の「早期アクセス」を販売するサイトを調査しました。料金を支払っても何も得られず、支払いを取り消すこともできませんでした。8月には、ゲームではなく情報窃盗ツールを配信する偽のExtended Lookおよびデモサイトを発見しました。

今週調査したサイトは、GTA 6のファンによるカウントダウンサイトのように見えますが、ゲームのリーク版を販売しています。アクセスするとすぐにウォレットドレイナーが起動します。これは、接続されたウォレットから暗号通貨やその他の資産を盗むように設計されたコードです。暗号通貨での支払いを選択すると、ドレイナーはウォレットの接続を求めます。このドレイナーは、複数のブロックチェーンネットワークにわたる資産を標的にすることができます。

ページの表示例

この偽装が成功しているのは、ページの大部分が正確そうな情報を使用しているからだ。11月19日までのリアルタイムカウントダウン、レオニダの地図、そして発売情報とゲームプレイタイルのグリッドが掲載されている。発売情報はRockstarの公式発表と一致しており、GTA 6はPlayStation 5とXbox Series向けに11月19日に発売予定となっている。 X |S、そしてRockstarはPC版を発表していません。

その正確な情報の中には、2つのオファーが含まれている。1つは流出したコピーを50ドルで販売するもので、もう1つはそれを暗号通貨（1 SOL、執筆時点で約102ドル相当）で提供するものだ。

このページでは、流出したコンテンツを提供している他のサイトはすべて詐欺であり、このサイトだけが安全に購入できる場所だと訪問者に伝えている。他の詐欺師について警告することは、すでに疑念を抱いている人を安心させるための一般的な手法である。

このサイトは、誰でも確認できるような矛盾点も抱えている。フッターには、2つの支払いボタンのすぐ下に、購入、ダウンロード、支払いは一切受け付けていないと明記されている。サインアップボックスの見出しは「通知を受け取ろう。詐欺に遭わないで」となっている。情報一覧表にはゲームはコンソール専用と記載されている一方、FAQでは購入後にPC版をダウンロードできると約束されており、Rockstarが6月に予約受付を開始してから数ヶ月経った今でも価格は未定だとされている。

文章も2つに分かれています。カウントダウンとマップの部分はきれいな文章です。しかし、販売用の文章には複数の誤りがあり、「download」のスペルミスや、GTA VIではなくGTA IVへの言及などが含まれています。私たちの見解では、正規のファンテンプレートが再利用され、校正をしていない別の人物が販売促進文を追加したと考えられます。

ウォレットを接続するとどうなりますか？

ここには2つのコードがありますが、それらは全く異なります。

最初の攻撃はページ内に書き込まれ、Solanaウォレットを標的とします。広告されている価格は請求されません。代わりに、ウォレットの残高を確認し、取引手数料を賄うための少額を残し、残りのすべてを攻撃者に送金する準備をします。広告されている価格は計算には一切関係ありません。

2つ目は約2.4MBの別のスクリプトで、はるかに高機能です。このスクリプトには、ウェブサイトを暗号通貨ウォレットに接続するための正規の広く使われているツールが含まれており、1つのウォレットだけでなく、複数のウォレットと連携できます。このツールには、接続されたウォレットの資産を一覧化し、その価値を計算し、詳細を攻撃者に報告し、被害者が承認するためのトランザクションを取得する悪意のあるコードが追加されています。

このスクリプトは、イーサリアム、ポリゴン、BNBスマートチェーン、アバランチ、アービトラム、ベース、ファントムという7つのブロックチェーンネットワーク上のウォレットを標的とするように設定されています。これらのネットワーク上の主要なステーブルコインを認識し、様々な種類のアクセス権限を要求できます。被害者が承認した内容に応じて、仮想通貨を即座に送金したり、後でトークンやNFTコレクション全体を移動する許可を得たりすることが可能です。

送金は即座に資産を移転します。承認は、攻撃者が後から資産にアクセスできるようにする可能性があります。このスクリプトは両方に対応しています。

まずあなたの現在地を確認します

訪問者にウォレットの接続を求める前に、スクリプトはオペレーターのサーバーから設定をダウンロードします。特定の設定が有効になっている場合、訪問者のIPアドレスを使用して国を特定し、アルメニア、アゼルバイジャン、ベラルーシ、カザフスタン、キルギス、モルドバ、ロシア、タジキスタン、トルクメニスタン、ウズベキスタンの固定リストと照合します。

これらの国からの訪問者には「このウェブサイトはお住まいの地域ではご利用いただけません」というメッセージが表示され、空白のページにリダイレクトされます。それ以外のユーザーはそのまま閲覧を続けることができます。

この国別ブロック機能を制御する設定は、 CIS_Protection コードの中に。

この国々を除外することは、一部の犯罪ツールにおける長年の慣例であり、通常は現地の法執行機関の目を逃れるための試みと解釈されます。国名リストだけで、誰がこの背後にいるのかを断定することはできません。このリストが示しているのは、ツールを作成した人物が、誰を標的にするかを意図的に決定し、その決定を設定ファイルに書き込んだということです。

あなたの財布の価値を計算します

このスクリプトは、訪問者に承認を求める前に、訪問者のプロファイルを作成します。複数のブロックチェーンにわたる保有資産を確認し、その総額を計算して、詳細をオペレーターに送信します。これには、ウォレットの推定ドル価値、トークンとNFT、訪問者のIPアドレスと国、ウォレットの接続回数などが含まれます。

このスクリプトは、分析をより困難にするように設計されています。セキュリティスキャナーで使用される自動ブラウザを検出したり、ブラウザの開発者コンソールに通常表示されるメッセージを抑制したり、開発者ツールを妨害したり、サーバーアドレスをコード内に隠蔽したりすることができます。

いくつかの詳細から、この資金流出ツールは自作ではなくレンタル品である可能性が高い。ウェブページに書き込まれたSolanaのアドレスは、スクリプト本体には含まれていない。代わりに、スクリプトはリモートサーバーからオペレーターIDと設定をダウンロードし、被害者に表示される取引情報もそのサーバーから取得している。これは複数の顧客が利用するホスティングサービスに似ているが、具体的な製品名は特定できていない。また、ウェブサイトを変更することなく、盗まれた資金の送金先を変更できる仕組みになっている。

6月に調査した偽のGTA 6サイトは、被害者に対し一定額の支払いを要求し、その金額分だけを即座に失うように仕向けていました。しかし、このサイトは、接続されたウォレット内の全てを奪おうとする可能性があります。被害者の承認内容によっては、攻撃者はウォレットの現在の残高を即座に送金するか、後からトークンやNFTを奪う許可を得るかのどちらかを選択することになります。

承認する前に確認すべきこと

ウォレットを接続するだけでは、サイトが何も取得することはできません。危険が生じるのは、その後に続く取引や許可要求を承認したときです。

承認画面は、重要な最終防衛線です。例えば、Phantomの仮想通貨ウォレットは、署名前にすべての取引をシミュレーションし、何が起こるかを平易な言葉でプレビュー表示し、不審な点があれば警告を表示すると謳っています。他の評判の良いウォレットも同様の機能を提供していますが、内容を読まずに承認してしまうと、保護することはできません。

ウォレットの承認画面で、2つの警告サインを確認してください。まず、想定していた金額ではなく、残高の全部またはほぼ全部を送金するような取引は拒否してください。次に、トークンやNFTへのアクセスを承認、許可、または付与する要求はすべて拒否してください。そうすることで、攻撃者が後でこれらの資産を移動させる可能性があり、ゲームを販売するショップがそのような許可を要求する理由はありません。

身を守る方法

GTA 6のプレイ可能なコピーを販売しているサイトはまだありません。Rockstar Gamesは11月19日発売の予約販売を行っています。リークされたコピー、早期入手版、またはプレイ可能なコピーを提供しているサイトは、正規販売店ではありません。
ゲームサイトでウォレット接続を求められた場合は、警告サインと捉えてください。GTA 6の正規購入は、Rockstarの正規販売店および小売店でのみ可能です。Rockstarは、購入者に仮想通貨ウォレットの接続やウォレットアドレスへの仮想通貨の送金を求めることはありません。
承認画面は必ず毎回確認し、残高のほぼ全額を動かせるものや、継続的なアクセスを要求するものはすべて拒否してください。
正確な部分があるからといって、残りの部分も保証されるわけではない。正確な発売日や本物のアートワークは、攻撃者にとっては何のコストもかからない。
ウェブ閲覧に使うウォレットには、高額な残高を入れないようにしましょう。
ページが読み込まれる前にブロックしましょう。Malwarebytes Browser Guard Malwarebytes無料で、ブラウジング中に詐欺サイトや悪質なサイトをブロックします。

ウォレットを接続した場合の対処法

サイトを通じて付与された権限をすべて確認し、必要に応じて取り消してください。これらの権限によって、たとえ現時点で何も盗まれていなくても、攻撃者が後々資産を盗み出すことが可能になる場合があります。
現在の接続を終了するには、サイトとウォレットの接続を解除してください。これにより、既に付与した権限が取り消されることはありません。
使用しているすべてのチェーン上のトークンやNFTを含め、ウォレットの全内容を確認してください。
資金が引き落とされた場合、または復旧フレーズを入力した場合は、残っている価値のあるものはすべて新しく作成したウォレットに移動してください。
送金先のアドレスをウォレットプロバイダーと、詐欺被害報告サービスに報告してください。これにより、プロバイダーがアドレスを特定し、他のユーザーに警告を発するのに役立ちます。

盗まれた仮想通貨の回収を手数料と引き換えに申し出る人物には注意してください。これは多くの場合、同じ被害者を狙った二度目の詐欺です。

送金が完了した後は取り消すことはできません。分析したコードはウォレットのリカバリーフレーズを要求したり公開したりしないため、サイトに接続するだけではリカバリーフレーズが危険にさらされることはありません。もし送金プロセス中にリカバリーフレーズを入力してしまった場合は、それを別の情報漏洩として扱い、残りの資産を新たに作成したウォレットに移動してください。付与した権限は、取り消すまで有効です。